RPKI 验证器依赖 X.509 对象安全，但框架本身缺乏目录功能，无法确认文件集合是否完整。清单机制通过加密签名列出所有对象，配合严格 X.509 处理，成为验证发布点完整性与一致性的唯一手段，防止 ROA 文件被恶意隐藏或误删导致 BGP 路由决策失误。
缺失文件的风险与现有协议的局限
RPKI 验证器定期通过 rsync 或 RRDP 拉取数据，但两者均无内置认证。中间环节（CDN 或伪装发布点的攻击者）可轻易隐藏 ROA 文件。2020 年 4 月某 RIR 误删约 2,600 个 .roa 文件即为实例。X.509 框架无法判断一组对象是否完整；过期或不完整的数据不宜用于 BGP 路由决策。验证软件必须确认所有证书与文件均存在、未过期、格式合规，否则将面临安全隐患。
清单的工作原理与双向保护
清单（RFC 6486）类比国际货运清单：接收方获得签名列表，核对发送项与数量，发现遗漏或丢失。RPKI 中每个清单由发布 CA 以加密签名生成，列出该发布点下所有对象的文件名与哈希值。验证器下载清单后，逐项比对实际获取的文件，若数量或哈希不符即判定不完整。该机制同时保护资源持有者（CA）与依赖方（RP）：CA 证明发布内容未被篡改，RP 确认获取数据完整可信。
部署建议与软件生态改进
2020 年以来 RPKI 客户端软件生态明显改进，运维人员应升级至最新版本以获得完整的清单验证支持。验证器需严格执行 X.509 校验与清单比对，拒绝处理过期、不完整或格式错误的数据。原文未给出具体部署比例或版本号，但强调“默认安全”已成行业共识，及时更新客户端是规避发布点完整性风险的基础操作。
对网络工程师而言，启用并维护 RPKI 清单验证是防范路由劫持与配置错误的关键一环。只有当验证器同时完成证书链校验与清单完整性比对，才能确保输入 BGP 决策的 ROA 数据真实反映授权状态，避免因文件缺失导致的误判或安全漏洞。
原文: APNIC Blog（2020-11-10）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog