RPKI 按 RFC 6810 定义，用于验证前缀与发源 AS 的对应关系，支撑路由源验证（ROV）减少路由泄露。AT&T、Telstra、NTT、Telia Global 等大型网络已部署 ROV，但调查显示运营商不启用无效路由过滤的主因是担心与合法目的地断联；错误 ROA 不应产生误判。BGPsec、ASPA、AS-Cone 等机制虽辅助 BGP 安全，RPKI 自身却引入两类安全隐患。
rsync 分发机制的缺陷：rsync 为开源工具，设计初衷是减少客户端与服务端传输量。验证器依赖系统调用 rsync 二进制文件，不同版本与 contimeout 等选项差异导致结果不可预测。APNIC 首席科学家 Geoff Huston 指出，rsync 仓库易受 DoS 攻击，缺乏原生客户端库，迫使实现方通过系统调用调用二进制，引入脆弱性：二进制更新易破坏兼容性、错误难捕获上报、开发测试复杂。George Michaelson 与 Byron Ellacott 曾论证 rsync 作为客户端或服务端均不安全、低效。原文未给出具体攻击案例数据。
规模增长加剧的扩展性危机：全球 RPKI 数据集持续增长，更多运营商下载验证数据，rsync 的扩展性问题凸显。单次同步需遍历整个仓库树，带宽与 CPU 消耗随对象数量线性上升。原文未给出具体数据集大小或同步耗时。早期 rsync 曾支撑系统良好运行，但随着验证器部署增多、数据量膨胀，其低效、不安全、危险的特性成为瓶颈。当前无替代分发协议的标准化进度信息。
工程师需权衡 ROV 部署收益与 rsync 运维风险：若启用过滤，应监控验证器同步失败率、设置 rsync 超时重试策略，并评估二进制依赖对版本升级的影响，避免单点分发故障导致大面积路由验证失效。
原文: APNIC Blog（2021-04-27）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog