Malásia obriga ISPs a redirecionar consultas DNS para servidores locais

 (thesun.my)
1 pontos por GN⁺ 2024-09-08 | 1 comentários | Compartilhar no WhatsApp
  • A MCMC instruiu os ISPs a redirecionarem o tráfego DNS para os próprios servidores de cada provedor, mesmo quando o usuário usa DNS de terceiros como Google DNS ou Cloudflare
  • A principal justificativa é impedir que o bloqueio de sites nocivos feito pelo DNS local do ISP seja contornado, evitando que sites maliciosos alcancem usuários na Malásia
  • A MCMC bloqueou 24.277 sites entre 2018 e 1º de agosto de 2024, com apostas online representando 39% e pornografia 31% do total
  • Em resposta às críticas de que o redirecionamento de DNS seria um “bloqueio total”, a MCMC afirmou que o alvo são conteúdos maliciosos como violação de direitos autorais, apostas online e pornografia, e que o acesso a sites legítimos será mantido
  • Se houver problema para acessar sites legítimos, o usuário poderá reportar ao ISP, e sites que se considerem afetados de forma indevida poderão recorrer ao Appeals Tribunal

Diretriz de redirecionamento para o DNS do ISP

  • A MCMC instruiu os ISPs a redirecionarem para seus próprios servidores DNS o tráfego que usa servidores DNS de terceiros
  • Isso inclui o uso de servidores DNS de terceiros como Google DNS e Cloudflare
  • O objetivo é garantir que os usuários continuem recebendo a proteção oferecida pelos servidores DNS locais dos ISPs e impedir que sites maliciosos cheguem aos usuários na Malásia

A lógica de proteção apresentada pela MCMC

  • O DNS é o sistema que converte endereços de sites em endereços IP numéricos, permitindo localizar sites na internet
  • Os ISPs operam seus próprios servidores DNS, que podem ser configurados para bloquear o acesso a determinados sites ou domínios conforme o tipo de conteúdo
  • A MCMC entende que o bloqueio via DNS pode proteger os usuários dos seguintes tipos de sites
    • Sites de distribuição de malware
    • Sites de phishing e outras atividades maliciosas
    • Conteúdo inadequado, como sites de material adulto e violência

Escala e tipos de bloqueio

  • Como medida de proteção à segurança dos usuários de internet, a MCMC bloqueou um total de 24.277 sites entre 2018 e 1º de agosto de 2024
  • A classificação dos sites bloqueados se concentra em apostas online e conteúdo pornográfico/obsceno
    • Apostas online: 39%
    • Conteúdo pornográfico/obsceno: 31%
    • Violação de direitos autorais: 14%
    • Outros sites nocivos: 12%
    • Prostituição: 2%
    • Investimento ilegal/fraude: 2%
  • Proporção por categoria de bloqueio: {b:39,31,14,12,2,2}

Diferença entre DNS de terceiros e DNS local

  • Alguns usuários escolhem servidores DNS de terceiros como Google DNS e Cloudflare
  • É conhecido que DNS de terceiros pode oferecer vantagens como maior velocidade ou privacidade aprimorada
  • A MCMC considera que o DNS de terceiros pode não oferecer o mesmo nível de proteção que os servidores DNS locais dos ISPs, especialmente em relação à proteção contra conteúdo nocivo no contexto local

Resposta da MCMC às críticas de bloqueio total

  • A MCMC considera equivocada a crítica de que esta medida seria uma “medida drástica”
  • Reafirmou que o objetivo da ação é proteger grupos vulneráveis de conteúdos online nocivos
  • Também negou a alegação de que o redirecionamento de DNS equivale a um bloqueio total
    • O bloqueio se aplica a sites identificados como hospedeiros de conteúdo malicioso
    • Os exemplos incluem violação de direitos autorais, apostas online e pornografia
    • Sites legítimos continuarão acessíveis normalmente
    • O redirecionamento de DNS busca filtrar conteúdo nocivo, mantendo o acesso a sites seguros sem interrupções perceptíveis

Problemas de acesso e processo de recurso

  • Se houver dificuldade para acessar sites legítimos, os usuários podem reportar diretamente ao seu ISP
  • A MCMC afirmou que ainda não recebeu esse tipo de reclamação
  • Sites que considerem ter sido indevidamente alvo ou afetados poderão apresentar recurso pelos canais apropriados
  • O Appeals Tribunal, criado pela MCMC e presidido por um juiz da Alta Corte, opera de forma independente e analisa cada caso de modo justo e imparcial

Estrutura regulatória separada para segurança na internet

  • A MCMC já havia anunciado a introdução de uma nova estrutura regulatória para o uso seguro da internet por crianças e famílias em 1º de agosto de 2024
  • A entrada em vigor está prevista para 1º de janeiro de 2025
  • Segundo a nova estrutura, serviços de redes sociais e de mensagens pela internet com pelo menos 8 milhões de usuários registrados na Malásia deverão solicitar a Application Service Provider Class Licence nos termos do Communications and Multimedia Act 1998, Act 588

Leituras relacionadas

1 comentários

 
GN⁺ 2024-09-08
Opiniões no Hacker News

  • A MCMC diz que é uma “medida para proteger grupos vulneráveis de conteúdo online nocivo”, mas esse tipo de coisa sempre começa com a desculpa de que é “para o seu bem”

    • Fico me perguntando se alguém já criou um navegador web com IA
      Um navegador que redesenhasse imagens que o usuário acharia ofensivas, mudasse textos de anúncios e reescrevesse comentários para ficarem positivos seria bem interessante
    • A Malásia é famosa por ter proibido o filme Babe porque um porco falante poderia ferir sentimentos religiosos
      Parece que a liberdade de expressão não é uma prioridade alta por lá
    • Isso é completamente insano
      É como dizer: “Fomos abençoados pelos céus com a capacidade sobre-humana de prever o que causará dano, então aceitem essa bênção. Nós, altruisticamente, vamos protegê-los do mal”
      A premissa de que “palavras online causam dano” é tão absurda quanto esta sátira do Monty Python: https://www.youtube.com/watch?v=Qklvh5Cp_Bs
      O dano real vem de quem afirma ter sido emocionalmente prejudicado por palavras e usa poder de vítima para causar problemas na escola, na carreira e na Justiça
      Se palavras fossem realmente tão perigosas, já teriam sido imediatamente transformadas em armas, e a sensibilidade em torno desse tema parece um exagero extremo
      Como a premissa de que palavras causam dano não faz sentido, a definição de dano fica igualmente vazia
      Pergunte a alguém que virou presidente do grêmio estudantil ou de uma associação de moradores por poder sobre uma política que tenta empurrar sozinho contra a vontade dos membros, e por trás de uma boa intenção plausível aparece uma motivação egoísta
      A política nacional é o mesmo jogo; a diferença é que as pessoas sedentas por poder que ficam gesticulando são apenas mais habilidosas e experientes
    • É pelas crianças, dizem. Você não ama as crianças?
    • Também há o fato de que um país que toma medidas assim é um lugar que também praticou apartheid

  • Como responsável por redes, poder redirecionar DNS de forma transparente na minha rede é um recurso útil
    Mas, do ponto de vista de usuários da internet pública, parece um bug
    Mesmo que coisas como DoH sejam incômodas para segurança de rede e aplicação de políticas, já está na hora de elas se tornarem comuns o suficiente para que governos não consigam usar DNS para seus próprios fins

    • A desvantagem do DNS criptografado é que ele precisa fazer bootstrap por meio do DNS tradicional não criptografado ou de listas de IPs conhecidos
      Hoje, a maioria dos clientes que usam DoH/DoT usa um entre poucos provedores, como Cloudflare, Google ou Quad9
      Um governo determinado poderia bloquear esses endpoints facilmente
      Claro que o cliente de DNS criptografado poderia simplesmente se recusar a funcionar, em vez de voltar ao DNS tradicional quando bloqueado, mas aí o cliente poderia se tornar inutilizável naquele país
      Isso lembra o caso do Cazaquistão, que tentou fazer ataques man-in-the-middle em todas as sessões TLS domésticas e obrigar cidadãos a instalar manualmente um certificado raiz
      Google, Apple e Mozilla bloquearam completamente esse certificado raiz, tornando-o inutilizável mesmo que o usuário obedecesse: https://en.wikipedia.org/wiki/Kazakhstan_man-in-the-middle_a...
      Nessa disputa política, parece que os desenvolvedores de navegadores venceram, mas não sei se travariam a mesma briga quando DoH/DoT fosse bloqueado
    • Como responsável por segurança de infraestrutura, DoH é até melhor
      Dá para impor, via gerenciamento de configuração, um servidor DoH operado pela empresa em todos os dispositivos internos, estejam eles na VPN ou não
      Há boa visibilidade sobre quais dispositivos consultam o quê, é fácil lidar com domínios internos e dá para bloquear domínios de malware tanto dentro quanto fora da empresa
      Pelo menos nas empresas em que trabalhei havia muitos notebooks em cafés ou WeWork, e metade nem sequer estava com a VPN ligada
      Para mim, o DoH trouxe benefícios muito maiores do que incômodos
    • Mesmo que o DNS seja redirecionado, quem decide para onde as consultas DNS vão em seguida, no fim das contas, é o ISP para a maioria dos usuários da internet
      Nos últimos anos, equipamentos de inspeção profunda de pacotes se espalharam bastante; são baratos, têm alto desempenho e grande vazão sustentada
      Redirecionar consultas DNS na porta UDP 53 para o destino desejado, ou descartá-las/mandá-las para um buraco negro, é moleza
      Só é possível passar por um túnel VPN, mas equipamentos modernos de inspeção profunda de pacotes também conseguem identificar e bloquear assinaturas de tráfego semelhantes a VPN
      Uma solução prática que resiste de forma confiável à adulteração de tráfego é envolver o túnel VPN dentro de um túnel Shadowsocks, que ofusca assinaturas de tráfego e fica mudando a porta de operação
    • DoH ajuda contra governos, mas não ajuda contra anunciantes
      Não há como impedir que o Google ou criadores de apps acessem seus próprios endpoints DNS via DoH e contornem medidas locais como bloqueio de malware e rastreamento
      DoH é uma faca de dois gumes e, para a maioria das pessoas, anunciantes são uma ameaça mais próxima e mais disseminada do que o próprio governo
    • Se você é responsável pela rede, basta redirecionar de forma transparente as solicitações DNS de todos os dispositivos da casa para o seu próprio resolvedor DNS
      Assim você controla diretamente o que será resolvido — malware, sites de phishing, pornografia que não quer que as crianças vejam etc. — e pode fazer esse resolvedor usar DoH
      Mas não é bom exigir que navegadores “popularizem o DoH”
      Navegadores podem acabar forçando apenas DoH, entrando em conflito com políticas corporativas, e esses navegadores talvez não possam ser usados em ambientes empresariais

  • A balcanização da internet parece inevitável
    Quanto mais gente entra na internet, mais crenças, valores e políticas entram em choque
    Grandes mercados como a UE ou a Índia conseguem fazer empresas se alinhar, mas, para países menores, costuma ser mais fácil bloquear seletivamente plataformas globais e manter alternativas locais e conformes à lei
    A China mostrou que isso é possível e também lucrativo

    • Foi uma grande sorte termos vivido um período excepcional em que existia uma verdadeira rede global de dados
      No fim, parece tão inevitável quanto a entropia que burocratas e pequenos feudos percebam a existência desse sistema e exijam sua parte
    • A censura da internet parece já ter entrado em uma fase sem volta
    • Sinceramente, é surpreendente que os EUA ainda não tenham uma estrutura legal que obrigue ISPs a bloquear IPs ou nomes de host DNS
      Eu esperava que isso surgisse há mais de 10 anos, mas ainda não aconteceu

  • Pornografia e conteúdo obsceno representam 31%, e violação de direitos autorais, 14%; dizem que é para “proteger grupos vulneráveis de conteúdo online nocivo”, mas não sei quem exatamente é prejudicado por pornografia ou pela ainda mais ridícula violação de direitos autorais
    Parece uma desculpa muito fraca
    A censura da internet no meu país, a Rússia, também começou com algo como “proteger as crianças do suicídio e das drogas”, mas, mesmo depois de adulto, você não podia recusar essa “proteção”
    Como era de se esperar, com o tempo, a lista de coisas das quais as pessoas precisavam ser “protegidas” sem consentimento foi aumentando
    No fim, se você não usa apenas serviços locais, conteúdo em russo e mídia estatal, a internet fica completamente quebrada sem VPN, fragmentadores de pacotes e outras soluções anticensura
    Protocolos populares de VPN também começaram a ser bloqueados. Tudo, claro, pela sua segurança

  • Como dizem que “bloqueiam apenas sites identificados como hospedando conteúdo malicioso, como violação de direitos autorais, jogos de azar online e pornografia”, parece que pornografia é ilegal na Malásia
    Parece um bom momento para usuários da Malásia migrarem para DoH
    Edit: segundo a Wikipedia, possuir ou compartilhar material pornográfico é ilegal e pode resultar em multa de até RM10.000

    • Sou malaio, e eles já quebraram até o DoH de provedores de DNS populares como Google e Cloudflare
      Parece que estão roteando 1.1.1.1 para o DNS deles, e, quando tento acessar DoH, aparece SSL_ERR_BAD_CERT_DOMAIN
      As opções parecem ser usar VPN ou entrar num jogo de gato e rato para encontrar um DNS que ainda não tenha sido rerroteado
    • No meu país, a Coreia do Sul, o uso de serviços de pornografia também é proibido
      Eles também derrubam TLS usando o TLS HELLO
      Então DoH deve funcionar bem por enquanto, mas acho que o governo logo tentará derrubar também conexões HTTPS ou TLS
    • Os países sempre se prendem às batalhas mais importantes, hein

  • Nesse caso, os “sites maliciosos” bloqueados por provedores de DNS aprovados pelo governo quase certamente incluirão recursos LGBT que podem salvar vidas
    Não vai parar por aí; devemos esperar que coisas antigoverno também sejam bloqueadas
    O histórico democrático da Malásia não é bom
    Claro que ainda há formas de contornar, e dá para usar uma boa VPN como a Proton
    Esse método com certeza será copiado por regimes autoritários no mundo todo

    • O histórico democrático da Malásia não é excelente, mas ainda é uma democracia
      E mesmo numa Malásia em que a democracia funcione muito bem, é bem provável que uma medida dessas receba votos
      Não se deve confundir democracia com valores liberais
    • A palavra democracia em si não significa nada
      Na Europa também há democracias que acham aceitável mandar pessoas para a prisão por coisas que escreveram online
    • Dizem que “regimes autoritários no mundo todo vão copiar”, mas acho que esse navio já zarpou
      A Malásia definitivamente não é o primeiro país a fazer algo assim
    • Não sei o que poderia “salvar vidas”
      Em linhas gerais, por ser um país islâmico relativamente moderado, o melhor que se pode esperar é que, se você for gay e ficar discreto, ninguém o incomode muito
    • É surpreendente que VPN seja legal na Malásia
      Normalmente censura e bloqueio de VPN andam juntos

  • A tensão entre a internet sem fronteiras e a soberania nacional é um dos metaconflitos mais importantes do mundo atual
    De um lado, pode ser criticada como autoritarismo severo; de outro, defendida como soberania digital

    • Autoritários sempre apelam à soberania, então não há motivo para ser diferente quando é hora de quebrar a internet

  • Talvez seja hora de iniciar uma rede de base para trocar enormes arquivos /etc/hosts

    • Não precisa ser enorme
      Idealmente, bastaria organizar por região apenas os itens censurados por motivos políticos
    • https://winhelp2002.mvps.org/hosts.htm
    • Isso só faz sentido quando se tem permissão de root no desktop
      A maioria das pessoas aqui provavelmente tem isso nos próprios equipamentos, mas é preciso uma solução que funcione para todo mundo, em todas as plataformas, e isso não é fácil
      Apps como VPN também não são permitidos na Apple App Store da China
      Felizmente, dá para mudar para outra loja, baixar o app e depois voltar; e usuários de Android, como sempre, podem fazer sideload de APKs
      Mas só isso já mostra o quanto é complicado
      Mais um motivo para eu realmente detestar o ecossistema fechado da Apple

  • Por causa da reação da opinião pública, a Malásia mudou de posição e decidiu não seguir adiante com a obrigatoriedade de redirecionamento de DNS: https://www.nst.com.my/news/nation/2024/09/1102836/updated-m...

  • Fico me perguntando se eles consideraram DoT, DoH, DNSCrypt

    • Acho que a maioria dos países que faz esse tipo de coisa também bloqueia ou redireciona os principais provedores de DoH, como Cloudflare ou Google
      Claro que dá para usar outro servidor ou, no pior caso, usar um proxy HTTP para ocultar o tráfego DoH
      Há países que fazem ataque man-in-the-middle em todo o tráfego HTTPS, e as únicas opções são instalar o certificado raiz do governo no repositório de confiança ou não usar HTTPS
    • Pode haver pessoas que configuram manualmente os IPs de DNS no roteador e no celular
      Google 8.8.8.8 8.8.4.4
      Control D 76.76.2.0 76.76.10.0
      Quad9 9.9.9.9 149.112.112.112
      OpenDNS Home 208.67.222.222 208.67.220.220
      Cloudflare 1.1.1.1 1.0.0.1
      AdGuard DNS 94.140.14.14 94.140.15.15
      CleanBrowsing 185.228.168.9 185.228.169.9
      Alternate DNS 76.76.19.19 76.223.122.150
      https://github.com/yarrick/iodine =3