RIRs使用基于RIR的0/0自签名证书的信任锚，是为了确保在分布式信任框架中，每个区域互联网注册机构（RIR）发布的信任锚能够覆盖整个互联网号码空间。这种设计考虑了信任锚在公共密钥基础设施（PKI）中的作用，即验证所有数字签名工件。
信任锚的定义与作用
信任锚是依赖方（依赖方是指那些希望使用PKI来验证数字签名证明的人）用来验证该PKI中所有数字签名工件的标准。在X.509证书世界中，验证需要依赖方构建一个证书链，其中每个链接对应一个认证机构，其私钥已签名下一个（或直接下级）公钥证书。这个链的末端是用于数字证书的公钥的最终实体证书。链的另一端是一个依赖方在任何情况下都愿意信任的自签名证书。通常，在特定的PKI中，信任锚会被广泛分布，每个依赖方都期望以他们愿意信任的方式学习这些信任锚。
信任锚的稳定性和分布
在PKI中，信任锚通常是广泛分布的，并且由该PKI中的每个依赖方本地缓存。这意味着信任锚需要非常稳定，并且很少改变，因为任何变化都必须全面传播到所有依赖方。这与DNSSEC中的密钥签名密钥（KSK）的作用相似。在最近更改KSK值的过程中，确保每个依赖方都与这一变化保持同步，并替换他们对旧信任锚的信任以信任新信任锚，是一个复杂的过程。因此，我们希望信任锚是稳定且长期存在的，并且传统上会很少更改信任锚的密钥值，如果需要更改，最好是有一个信任锚更改机制。
RIRs使用信任锚的原因
RIRs使用基于RIR的0/0自签名证书的信任锚，是为了确保整个互联网号码空间的覆盖，并防止潜在的攻击。如果依赖方盲目相信任何他们被告知的事情，那么一个潜在的攻击者可以简单地代表他们为攻击创建的自签名证书作为信任锚，并向预期的受害者提供一个数字签名对象、证书链和这个所谓的信任锚。因此，RIRs使用基于RIR的0/0自签名证书的信任锚，是为了确保依赖方能够信任一个稳定且长期存在的信任锚，从而保护整个PKI的安全。
结尾：RIRs使用基于RIR的0/0自签名证书的信任锚，对于运维和网络工程师来说具有重要的实际意义。它确保了网络中数字证书的验证过程的安全性，减少了潜在的攻击风险，并提高了整个网络的安全性和稳定性。
原文: APNIC Blog（2020-04-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog