互联网的稳定性和安全性受到前缀劫持的威胁，后者可能导致流量被重定向到非法网络。为了防止这种情况，互联网工程任务组（IETF）设计并标准化了资源公钥基础设施（RPKI）。RPKI通过验证BGP前缀，允许网络过滤掉虚假的路由公告，从而防止前缀劫持。
RPKI的工作原理
RPKI的工作原理是通过公钥基础设施来验证BGP前缀的所有权。公钥基础设施由五个区域互联网注册机构（AFRINIC、APNIC、ARIN、LACNIC和RIPE）维护，提供一个加密签名的对象库，称为路由起源授权（ROA），将网络前缀与其所有者的自治系统号（ASN）绑定在一起。网络使用依赖方（RP）软件从公钥基础设施库中检索这些ROA，并验证它们。RP软件作为中间件，减少了路由器的负载，路由器只需要定期检索验证后的RPKI材料并使用它来做出路由决策。
RPKI的部署和影响
过去五年中，RPKI的部署取得了显著进展。目前，RPKI已经覆盖了几乎50%的所有互联网前缀（相比2017年的6.5%）。许多大型提供商和运营商都在使用ROA，例如Amazon Web Services，它在2018年AWS Route 53劫持事件后为其前缀发布了ROA。路由起源验证（ROV）由约37.8%的互联网自治系统（AS）强制执行（相比2017年的600个AS），包括大型互联网服务提供商（ISP）和运营商，如Level 3、Cogent、Deutsche Telekom和Zayo。RPKI对互联网路由的影响已经显现。例如，当Twitter前缀在2022年3月被劫持时，由于Twitter最近采用了RPKI，劫持的影响仅限于局部范围，而不是全球范围。
RPKI的安全性
尽管RPKI已经取得了进展，但其安全性仍然是一个问题。RP软件的漏洞可能会被攻击者利用，从而破坏RPKI的安全性。因此，网络运营商需要确保其RP软件是安全的，并且能够正确地验证ROA。此外，网络运营商还需要注意RPKI的局限性，例如其不能防止所有类型的前缀劫持。因此，网络运营商需要结合其他安全措施，例如BGPsec，来提供更全面的安全保护。
对于网络工程师来说，RPKI的安全性和部署是非常重要的。通过了解RPKI的工作原理和其局限性，网络工程师可以更好地设计和实现安全的互联网路由系统，从而保护互联网用户和服务的安全。同时，网络工程师还需要注意RPKI的更新和维护，确保其能够继续提供有效的安全保护。
原文: APNIC Blog（2024-03-01）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog