FCC adiciona roteadores de consumo fabricados no exterior à ‘Covered List’

• A FCC incluiu recentemente roteadores de consumo fabricados no exterior na ‘Covered List’
• Com essa medida, fica proibida a aprovação de novos modelos desses roteadores
• A atualização foi feita com base em avaliações de segurança nacional de órgãos do governo dos EUA
• A FCC divulgou os documentos relacionados por meio de comunicado à imprensa e aviso público, em formatos DOCX, PDF e TXT
• A decisão faz parte de uma resposta em nível federal com o objetivo de reforçar a gestão de riscos de segurança em equipamentos de rede para consumidores

---

FCC adiciona roteadores de consumo fabricados no exterior à ‘Covered List’

• A FCC (Federal Communications Commission) incluiu recentemente roteadores de consumo produzidos no exterior na ‘Covered List’
  • Essa medida significa a proibição da aprovação de novos modelos desses roteadores
• A atualização foi realizada com base em avaliações de segurança nacional de órgãos do governo dos EUA, e afirma que esses equipamentos podem representar uma potencial ameaça à segurança nacional
• A FCC divulgou o conteúdo relacionado na forma de comunicado à imprensa (News Release) e aviso público oficial (Public Notice), disponibilizados em arquivos DOCX, PDF e TXT
• Os documentos incluem um link para o FAQ de atualização da Covered List, com orientações sobre as mudanças regulatórias relacionadas a roteadores fabricados no exterior
• A medida foi anunciada como uma resposta em nível federal para reforçar a gestão de riscos de segurança em equipamentos de rede para consumidores

[GN⁺]

Opiniões do Hacker News

• A FCC mantém uma lista de equipamentos e serviços chamada "Covered List". Recentemente aumentaram os ataques que exploram vulnerabilidades em roteadores pequenos e domésticos fabricados no exterior, mas a raiz do problema não é o país de fabricação, e sim as péssimas práticas de segurança dos fabricantes. Como os órgãos do governo não exigiram firmware seguro, os fabricantes nunca tiveram motivo para se importar. Tanto a FCC quanto a FTC estariam presas a interesses políticos em vez de proteger o consumidor, e no fim os EUA acabaram produzindo um enorme volume de dispositivos com segurança ruim

  • Firmware seguro é um conceito relativo. Em vez de exigir firmware perfeito, o importante é ter atualizações contínuas. Mas os fabricantes encerram o suporte depois de 3 anos, enquanto consumidores usam o aparelho por 15. A solução seria dar ao consumidor o direito de trocar o firmware por conta própria. Assim, mesmo que a empresa feche, seria possível substituí-lo por firmware open source, com segurança melhor
  • Ironicamente, muitos equipamentos de consumo já vêm com backdoors embutidos sob o pretexto de “resolver problemas”. Esse tipo de problema não se limita a produtos estrangeiros. O único momento em que órgãos do governo realmente pareceram se importar com segurança foi quando o FBI tentou enfraquecer a criptografia
  • A Europa vai implementar o Cyber Resilience Act a partir de 2027, tornando obrigatórios requisitos mínimos de segurança para todos os produtos digitais. Isso inclui proibição de senhas padrão hardcoded, atualizações automáticas de segurança e criptografia de dados. Ainda não se sabe se vai funcionar, mas a iniciativa em si é positiva
  • A FCC só cuida de interferência de rádio; não é um órgão de proteção ao consumidor. A FTC também trata de práticas comerciais desleais, não de qualidade de segurança
  • É comum criticar o governo, mas esta medida foi lida como algo do tipo: “deixam a vulnerabilidade lá sabendo dela, exploram quando interessa e só depois corrigem”. Hoje em dia, alguns acham que é melhor fazer o próprio roteador

• O ponto central do anúncio é que roteadores estrangeiros serão proibidos por padrão, mas ainda poderão ser vendidos se obtiverem aprovação condicional (Conditional Approval). A FCC exigirá das fabricantes informações sobre jurisdição legal, origem dos componentes, plano de atualização de software e plano de expansão da produção nos EUA. Ou seja, a intenção seria usar o processo de aprovação para incentivar a fabricação doméstica

  • Mas, na prática, há quem ache que só empresas que pagarem propina política (payola) conseguirão aprovação, enquanto as demais serão barradas. Esse padrão já teria aparecido em políticas tarifárias
  • No papel parece excelente, mas na realidade existe o risco de virar um instrumento para benefício próprio do governo
  • É difícil acreditar que esse processo será conduzido como uma administração técnica e apartidária; no fim, pode virar uma estrutura de "Pay-to-Play"
  • No fundo, isso foi interpretado como “já que tarifas não funcionaram, vamos pressionar os parceiros comerciais por outro caminho”
  • Há também uma visão cínica de que só passarão empresas que doarem a projetos privados de Trump

• Também existe a preocupação de que isso possa ser o ponto de partida para a construção de um sistema de vigilância. Se roteadores fabricados nos EUA forem obrigados a incluir acesso remoto para o governo, todas as casas poderiam acabar ligadas a essa malha de monitoramento. A única vantagem garantida pelo livre comércio seria que um único país não consegue vigiar toda a população

  • Por exemplo, dizem que o app do roteador Xfinity ganhou uma função nova de “detectar movimento dentro de casa via Wi-Fi”
  • Em tom de piada, surgiu a ideia de ligar em série roteadores dos EUA, China e Rússia para que nenhum dos lados tenha acesso completo por backdoor
  • Mas, na prática, isso poderia ir além de vigilância simples e servir de base para controle doméstico da internet. Como no caso do Irã, seria uma estrutura em que o governo pode ocultar violência bloqueando informações

• Se a meta fosse segurança de verdade, em vez de proibir dispositivos, seria melhor abrir o firmware para auditoria

  • Só que um backdoor pode estar escondido não no firmware, mas dentro do chip de silício. Como verificação completa é inviável na prática, o ponto central é a segurança da cadeia de suprimentos. Ainda assim, muitos veem essa medida como mais uma forma de uso do comércio como arma por Trump
  • Firmware aberto raramente consegue sucesso comercial, mas projetos como OpenWRT One são um bom exemplo. O modelo criado em parceria entre Software Conservancy e Banana Pi funciona bem
  • Porém, por causa das regras da FCC, o usuário não consegue modificar livremente equipamentos de RF, e há exceções ao "Right to Repair". Sem mudança no Congresso, é difícil haver avanço real
  • Além disso, para o usuário comum é impossível verificar se o firmware corresponde ao código-fonte. Um dono de lojinha comum, que não é técnico, não tem como confirmar isso

• A decisão recente em Loper Bright Enterprises v. Raimondo (2024) enfraqueceu bastante a autoridade da FCC. Nesse contexto, há dúvida se uma medida para restringir roteadores estrangeiros conseguiria passar por escrutínio legal

  • Houve quem criticasse dizendo que “uma Suprema Corte alinhada aos republicanos só reforçou o poder do Executivo de arrecadar suborno”

• Fala-se em “proibição total de roteadores de consumo fabricados no exterior”, mas surgiu a pergunta: existem roteadores fabricados nos EUA?

  • Segundo artigo da heise.de, quase não há roteadores produzidos dentro dos EUA
  • Ainda assim, modelos já existentes continuarão podendo ser vendidos. Pelas regras da Covered List da FCC, a medida vale só para novos modelos. Algumas empresas poderiam até importar switches sem firmware e fazer o reflash nos EUA
  • Nem mesmo a Cisco fabrica nos EUA
  • Também existe a possibilidade de transformar um computador pequeno, como um Raspberry Pi, em roteador
  • Alguns especulam que talvez a Starlink fique de fora da regra

• A medida também pode ser uma tentativa da FCC de expandir seu poder regulatório sobre a internet. Foi citado um debate anterior como precedente semelhante

• Do ponto de vista dos fabricantes, uma saída pode ser vender o produto não como roteador, mas como computador de propósito geral. Já existe bastante hardware que pode servir como NAS, firewall ou servidor proxy

  • Mas a maior parte dos consumidores quer um produto acabado com o nome “roteador”. Quem quer equipamento de rede DIY já faz isso de qualquer forma

• Mesmo que uma empresa chinesa produza roteadores em fábricas nos EUA, o risco da cadeia de suprimentos continua existindo. Na prática, o que talvez seja ainda mais perigoso são os dispositivos IoT já conectados às redes domésticas. Por isso, muita gente vê a medida mais como gesto político do que como mudança real

• Em resumo, fica a pergunta: quantos roteadores de consumo que não sejam estrangeiros realmente existem?