RoVISTA 平台利用 IP-ID 侧信道技术，在不部署探测节点的前提下，从外部大规模推断各自治系统对 RPKI 无效前缀的过滤比例，填补了 ROV 部署率可见性的空白。
核心方法：双重验证与侧信道推断
RoVISTA 首先从 RouteViews BGP 表抓取路由条目，配合全部 ROA 进行 RPKI 验证，发现全球近 1% 受 RPKI 覆盖的前缀处于无效状态。针对这些无效前缀，系统扫描开放 TCP 端口的主机作为测量目标。为解决探测节点部署难以规模化的问题，团队引入 IP-ID 侧信道技术：通过观察目标主机 IP-ID 计数器的变化，远程推断任意源主机到目标的 TCP 连通性。每个 AS 至少选取 10 个源主机，向大量目标发起测量，若所有源主机均无法到达某目标，则判定该 AS 可能实施了 ROV 过滤。
关键发现：Tier-1 运营商普遍部署
自 2021 年 12 月运行以来，RoVISTA 已测量超过 27,000 个 AS 的 ROV 过滤比例。在 Tier-1 运营商中，Level 3 (AS3356)、Telia (AS1299)、GTT (AS3257)、NTT America (AS2914)、TATA Communications (AS6453)、PCCW Global (AS3491)、Orange (AS5511)、AT&T (AS7018)、Liberty Global (AS6830)、Sprint (AS1239)、CenturyLink (AS209) 均对测试集中 95% 以上的 RPKI 无效前缀实施过滤。值得注意的是，Orange 官方于 2022 年 6 月 27 日宣布部署 ROV，但 RoVISTA 早在 6 月 6 日就检测到其 ROV 比例从 0% 跃升至 100%，展现了平台的提前感知能力。
局限与后续工作
原文未给出具体数据关于误报率或漏报率的量化评估。平台依赖公开 BGP 表和 ROA 数据集，若源数据存在滞后或不完整，可能影响判定准确性。此外，IP-ID 侧信道在面对随机化 IP-ID 实现的主机时可能失效，需结合多源验证提高置信度。团队正持续扩大目标主机池并优化统计模型，以覆盖更多边缘 AS 并细化过滤策略识别。
对运维工程师而言，RoVISTA 提供了一个无需部署探针即可获取的 ROV 部署全景图，可用于验证自家 AS 的过滤生效时间、评估上游厂商合规情况，并作为路由安全审计的外部佐证数据源。
原文: APNIC Blog（2023-02-15）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog