互联网的复杂性不断增长，域间路由的安全性已成为国家安全的问题。边界网关协议（BGP）是互联网路由基础设施的骨干，但其设计初衷是简单和高效，而不是安全性。这一设计缺陷使得BGP成为互联网的弱点，容易受到各种攻击，带来严重的社会、经济和安全影响。为了应对这些威胁，资源公钥基础设施（RPKI）已成为最有前途的解决方案。RPKI生成和提供路由起源授权（ROAs）给路由器，路由器使用它们来执行路由起源验证（ROV），一种可以区分恶意BGP公告或路由泄露的过程。
RPKI部署面临的挑战
尽管RPKI的采用率不断增长，并且在减轻劫持攻击方面有着良好的记录，但RPKI并非完美无缺。我们的长期研究发现，RPKI生态系统存在几个问题，这些问题削弱了RPKI的效率和安全性，阻碍了其全面部署。RPKI仓库管理不善是其中一个问题，RPKI依赖于高可用性的分布式仓库来高效存储和提供ROA有效载荷。然而，许多仓库提供的服务不可靠，影响了它们分发内容的能力和全球RPKI验证器的性能。这些错误包括仓库服务器由于配置错误、DNS卫生不良和超时而无法访问，以及仓库中的对象管理不足。由于需要从所有仓库中收集数据以进行有效的RPKI基于验证，因此这些错误是RPKI数据验证过程中不完整的ROA传播和延迟的主要原因。我们的测量结果显示，日平均错误次数在一年期间增加了45%。
软件漏洞的普遍性
我们的测量结果还显示，56%的全球部署的RPKI验证器受到至少一种漏洞的影响，包括拒绝服务（DoS）攻击、静默ROV降级、路径遍历和RPKI缓存中毒。值得注意的是，大多数流行的RPKI验证器部署都受到这些漏洞的影响。这些漏洞可能导致RPKI验证器无法正常工作，影响互联网的安全性和稳定性。因此，解决这些问题对于RPKI的全面部署和互联网的安全性至关重要。
结论和建议
综上所述，RPKI部署面临着多个挑战，包括仓库管理不善和软件漏洞的普遍性。为了解决这些问题，需要改进RPKI仓库的管理和维护，确保仓库的可靠性和安全性。此外，需要加强RPKI验证器的安全性，包括定期更新和修复漏洞。只有通过解决这些问题，RPKI才能真正发挥其作用，保护互联网的安全性和稳定性。
对于运维和网络工程师来说，了解RPKI部署的挑战和解决方案至关重要。通过改进RPKI的安全性和效率，运维和网络工程师可以帮助保护互联网的安全性和稳定性，确保网络服务的可靠性和高效性。因此，RPKI的部署和维护需要网络工程师和运维人员的共同努力和关注。
原文: APNIC Blog（2024-09-23）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog