RPKI 并非仅服务于 BGP 路由源验证（ROV），其核心是让资源持有者对 IP 地址与 ASN 发布可验证的签名声明。APNIC 与 NLnet Labs 在 IETF 提出的 Resource Tagged Attestations（RTA）将这一能力泛化：任意文件均可绑定资源集合并由持有者签名，验证端通过 RPKI 验证器即可确认资源归属与签名真实性。
RTA 对象结构与验证机制：
RTA 以独立文件形式存在，通过密码学方式将任意内容（PDF、JSON、二进制挑战码等）与一组资源（IPv4/IPv6 前缀、ASN）绑定。接收方使用支持 RTA 的 RPKI 验证器（如 Routinator）解析对象，可直接读取关联资源列表，并验证签名是否由这些资源的合法持有者生成。规范不规定资源与文件内容的语义映射，解释权留给应用层。
典型场景与工具链现状：
人工场景：授权函、资产证明等文档可附带资源签名，阅读者自行核对内容与资源是否一致。机器场景：云厂商的 BYOIP（自带 IP 前缀）功能可要求用户对挑战码生成 RTA，作为持有权证明自动化校验。NLnet Labs 已在 Routinator 与 Krill 中通过 `--features rta` 编译选项提供概念验证实现，与 APNIC 同步开发的签名功能互操作；该特性默认关闭，需在测试环境手动启用。
部署实验步骤：
在安装 Rust 后执行 `cargo install routinator --features rta` 与 `cargo install krill --features rta` 获取带 RTA 支持的二进制文件。随后在测试机器上部署 Krill 实例，接入 NLnet Labs 测试床即可创建、发布与验证 RTA 对象。原文未给出具体测试床地址、证书链构建细节或性能基准数据。
RTA 将 RPKI 从单一路由安全基础设施推向通用资源认证层，网络工程师可在现有验证链路复用信任锚，无需额外 PKI 即可实现资产授权、云上前缀接入等业务级持有权证明。建议在生产环境引入前，先在隔离环境跑通签名-发布-验证全流程，评估对现有 ROA/ROV 流程的影响。
原文: APNIC Blog（2020-11-20）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog