研究揭示 RPKI 发布点故障或恶意行为可导致依赖方无法获取 ROA，迫使 BGP 路由器将前缀判定为 unknown 而非 invalid，从而绕过路由源验证（ROV）保护，实现前缀劫持。
攻击面与机制：
RPKI 依赖发布点存储 ROA，依赖方通过 rsync 或 RRDP（基于 HTTPS）定期拉取。当发布点不可达、响应超时或返回错误时，依赖方无法完成验证，相关前缀在 ROV 中呈现 unknown 状态。BGP 决策过程将 unknown 视为“无 ROA 覆盖”，优先级高于 invalid，导致伪造公告被接受。攻击者若控制或干扰发布点，即可诱发此降级。原文未给出具体攻击成功率或部署比例数据。
协议链路与信任假设：
获取 ROA 链路包含 DNS 解析（存根→递归解析器）、TCP 建联、rsync/RRDP 传输。每一环节均假设发布点诚实且可用。研究指出，发布点由区域互联网注册机构（RIR）或托管服务商运营，若其被攻陷或配置失误，全链路验证失效。原文未给出具体发布点数量、故障历史统计或 RRDP 与 rsync 失败率对比。
防御取舍与工程建议：
缓解措施包括：在依赖方侧实施更严格的超时与重试策略、部署多发布点冗余、监控 ROA 获取失败率并告警。但过度激进的超时会增加误判 unknown，反而扩大攻击面；冗余部署需协调多方运维成本。原文未给出具体超时阈值推荐、冗余架构最佳实践或各方案的误判率对比数据。
工程师需在路由器侧配置将 unknown 视同 invalid 处理的策略，同时监控依赖方日志中的发布点拉取失败率，建立发布点可用性基线，以便在 ROA 获取异常时快速定位是网络故障还是主动降级攻击。
原文: APNIC Blog（2022-06-15）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog