Provedor de DNS Quad9 classifica ordem de bloqueio contra pirataria como “ameaça existencial”

• O resolvedor de DNS sem fins lucrativos Quad9, da Suíça, alertou que a ordem de um tribunal francês para bloquear sites de streaming ilegal está ameaçando a própria continuidade do serviço
• A organização destaca que grandes empresas como Google, Cloudflare e Cisco conseguem arcar com os custos jurídicos e técnicos, mas pequenas entidades sem fins lucrativos têm dificuldade para suportar o mesmo peso
• O Quad9 explicou que, por falta de recursos, decidiu recentemente não comparecer diretamente ao processo no tribunal francês e, por isso, não teve alternativa além de aplicar a ordem de bloqueio globalmente
• Ao transferirem a responsabilidade para provedores de infraestrutura neutra (ISP·VPN·DNS), os detentores de direitos autorais estariam comprometendo a própria estrutura básica (plumbing) da internet
• A empresa alerta que essa pressão jurídica enfraquece a abertura, a privacidade e a descentralização da internet, podendo levar no fim a uma centralização nas mãos de poucas grandes empresas

---

A ordem de bloqueio contra pirataria e a crise do Quad9

• O resolvedor de DNS sem fins lucrativos Quad9, com sede na Suíça, publicou recentemente em seu blog que as ordens para bloquear sites de pirataria estão se tornando uma “ameaça existencial” para o serviço
  • Segundo a organização, grandes empresas de tecnologia conseguem absorver custos jurídicos e de engenharia como parte da operação, mas pequenas entidades sem fins lucrativos não conseguem se defender no mesmo nível
• O Quad9 afirmou que, no processo judicial na França, desistiu de se representar por limitações financeiras, o que acabou levando à necessidade de aplicar o bloqueio em escala global
• O caso começou em maio de 2024, quando o Tribunal Judicial de Paris determinou que Google, Cloudflare e Cisco bloqueassem o acesso a vários sites ilegais de streaming esportivo
  • Depois disso, outros titulares de direitos, como DAZN e beIN, apresentaram pedidos semelhantes, ampliando o alvo para mais provedores de DNS, como Quad9 e Vercel

“Quebrar o encanamento da internet”

• O Quad9 aponta que os detentores de direitos autorais, em vez de mirar diretamente os infratores, estão transferindo a responsabilidade para ISPs, VPNs e provedores de DNS, ou seja, operadores de infraestrutura neutra
  • Esse tipo de medida afeta diretamente os provedores da infraestrutura central da internet
• O Quad9 afirmou que não são plataformas que lucram com a infração que estão sendo atacadas, mas sim provedores de infraestrutura neutra que fazem a internet funcionar
• Após as medidas de bloqueio na França, a Cisco decidiu sair do mercado francês, mostrando que os impactos já são concretos
• Google e Cloudflare conseguem, do ponto de vista técnico, limitar o bloqueio apenas à França, mas o Quad9 não conseguiu implementar isso e teve de aplicar o bloqueio no mundo todo

A posição do tribunal francês e os questionamentos do Quad9

• O tribunal francês considerou essas ordens de bloqueio legítimas, e embora alguns recursos estejam em andamento, não há sinais de reversão
• Diante disso, o Quad9 defende que é necessário um debate mais profundo sobre os princípios básicos da internet e os limites de responsabilidade, levantando várias perguntas
  • “A infraestrutura técnica neutra deve ser responsabilizada pelos atos de terceiros?”
  • “Até que ponto tribunais nacionais podem aplicar suas leis a uma rede global?”
  • “Pequenas organizações sem fins lucrativos conseguem suportar obrigações legais pensadas para empresas globais?”
  • “O que acontece com a privacidade e a resiliência quando só algumas grandes empresas conseguem cumprir essas obrigações legais?”
  • “Em que momento a conformidade legal se transforma em censura de fato?”

A ameaça reacendida após o processo na Alemanha

• O Quad9 já havia vencido no passado um longo processo na Alemanha contra a Sony, mas afirma que, com este caso na França, a ameaça existencial voltou a se materializar
• A organização alerta que esse tipo de processo de bloqueio enfraquece a abertura, a privacidade e a descentralização da internet e pode acabar levando a uma internet centralizada em poucas grandes empresas capazes de arcar com os custos legais

[GN⁺]

Comentários no Hacker News

• Vi um aviso de que o OpenDNS da Cisco foi bloqueado por ordem judicial na França e em Portugal, e depois restaurado em Portugal
  É ótimo que a Quad9 queira lutar contra a censura, mas parece que eles também vão acabar tendo que bloquear os pedidos da França
  Acho que seria melhor enviar os usuários para uma página de redirecionamento explicando a situação e informando os contatos dos responsáveis no governo

  • Segundo o artigo, Google e Cloudflare têm tecnologia de geofencing que permite aplicar o bloqueio apenas dentro da França, mas a Quad9 não consegue fazer isso e por isso aplicou o bloqueio globalmente
    Fico curioso sobre qual seria o custo e a complexidade para um resolvedor DNS público implementar esse tipo de geofencing
  • Bloquear um país inteiro no fim pode virar uma verdadeira ameaça existencial

• Ao depurar um problema de login no site de um banco, descobri que o DNS da Quad9, diferente do Google ou da Cloudflare, retorna apenas parte dos registros A
  Quando testei com o comando dig, Google e Cloudflare retornavam 6 IPs, mas a Quad9 só devolvia 1
  Fiquei na dúvida se isso é só uma diferença de roteamento geográfico ou se existe algum outro motivo

  • Eu também usava a Quad9 como DNS padrão em casa, mas desde cerca de 11 dias atrás as consultas simplesmente não saíam, então suspeitei de bloqueio de IP. Agora estou usando a Quad1
  • Vi os três DNS retornarem apenas um único IP. O Google usa EDNS0 client subnet para fazer geotargeting com base no IP do cliente
    Dá para verificar com o comando dig -t txt o-o.myaddr.l.google.com @8.8.8.8
  • Tentei gostar da Quad9, mas os erros de SERVFAIL eram frequentes demais no nordeste, então voltei para a Cloudflare
  • O Google usa EDNS e balanceamento de carga, então não é adequado para testes. Melhor testar de novo com um domínio com vários IPs fixos
  • Curiosamente, eu também recebi um único IP diferente em cada um dos três DNS

• Vários ISPs na Alemanha agora desistiram da briga e começaram a fazer censura no próprio DNS
  Dá para ver informações relacionadas no site da CUII

  • No Japão também houve em 2018 uma análise do gabinete do primeiro-ministro sobre bloqueio de DNS de sites piratas, mas isso acabou barrado pela oposição da comunidade técnica
    Agora estão discutindo o bloqueio de sites de cassino online
    Materiais relacionados: ata da reunião do governo, comunicado do NIC
  • Em situações assim, acho importante operar seu próprio resolvedor com Unbound. Não há necessidade de depender de DNS centralizado
  • Na verdade, esse tipo de autocensura já existe faz tempo. Já acontecia na época do The Pirate Bay

• Espero que a Suíça não assine no ano que vem o acordo que pretende firmar com a UE
  O texto do acordo, com mais de 8 mil páginas, inclui a obrigação de cumprir regulações da UE relacionadas a direitos autorais, então o atual ambiente de downloads livres pode desaparecer
  Independentemente de posição política, acho que isso é um mau negócio para todo mundo

• Eu uso o Mullvad DNS e estou bem satisfeito
  Especificações do Mullvad DNS

  • Não sabia que o Mullvad DNS era público. Valeu por me mostrar isso
    Hoje em dia também estou testando o DNS4EU
  • Eu também uso como backup, mas a velocidade é muito lenta
    E, para referência, o Wikimedia DNS também opera como serviço público: Wikimedia DNS
  • No meu caso, a latência média fica em 350 ms. Captura de tela do teste de velocidade
  • O Mullvad DNS tinha indisponibilidades frequentes. Quase havia falhas diariamente, mas a VPN em si é excelente

• Atacar resolvedores DNS parece uma vitória fácil
  Se os sites forem realmente ilegais, deveriam tentar a apreensão de domínio via ICANN. Mas como isso é difícil de provar, parece que preferem pressionar os resolvedores DNS

  • A apreensão de domínio via ICANN teria que ser aplicada globalmente, então é difícil refletir diferenças entre legislações nacionais
    É preciso uma estrutura em que cada país possa manter suas próprias listas de bloqueio
  • Mas a ICANN não tem autoridade nem mecanismo para apreender domínios diretamente
    Só pode haver descredenciamento em caso de violação do contrato do registrador

• Ironicamente, a atual tendência de uma internet descentralizada não está surgindo por motivos idealistas, mas como reação à censura autoritária

  • É irônico, mas uma das virtudes originais da descentralização é justamente a resistência à censura
  • Eu considero a resistência à censura um valor central da descentralização
  • Razão, liberdade e resistência à censura são as virtudes que devemos preservar

• Fico curioso se a Quad9 opera um resolvedor que mantenha DNSSEC, mas sem bloqueio de malware
  Já houve vários casos em que domínios legítimos foram bloqueados temporariamente

  • Infelizmente não existe essa combinação. O 9.9.9.10 é a versão sem DNSSEC e sem bloqueio de malware

• Fico pensando se os servidores DNS raiz podem ser censurados ou alterados por ordem judicial
  Sempre achei que os servidores raiz fossem intocáveis, mas na prática tenho dúvidas

  • A menos que os EUA tentem censura diretamente, imagino que haveria forte resistência a esse tipo de ordem
    Em vez disso, seria melhor desenvolver alternativas como DNS-over-Tor ou DNS-over-DHT e popularizar os serviços onion do Tor
  • Os servidores raiz não são totalmente imunes, mas se a validação DNSSEC falhar o resultado vira SERVFAIL e o sistema tenta de novo com outro servidor raiz
    Portanto, isso não teria efeito a menos que todos os servidores raiz fossem alterados ao mesmo tempo
    Referência: estatísticas de DNSSEC
  • Os servidores raiz não armazenam os registros reais dos domínios, apenas indicam a localização do registro
    Portanto, para haver censura, o bloqueio teria que acontecer no nível do registro
  • Como no caso da Suécia, se o registro receber uma ordem judicial, ele pode transferir o domínio para a polícia
    Mas como não existe o conceito de “destruir permanentemente um domínio”, a definição de bloqueio fica ambígua

• Eu opero meu próprio servidor de nomes
  A menos que assumam o controle dos servidores raiz, bloqueio de DNS não é um problema
  Se você deixar os 5.000 principais domínios em cache antecipadamente, a velocidade de resposta também fica rápida

  • Na prática, mais importante que os servidores raiz são os registros TLD/2LD no bloqueio
    Se você operar um servidor DNS com conteúdo raiz próprio, fica quase imune a esse tipo de ataque
  • Claro que em algumas redes residenciais a porta 53 pode estar bloqueada, o que pode impedir esse tipo de tentativa