正文：
本文探讨了资源公共密钥基础设施（RPKI）在解决互联网边界网关协议（BGP）安全问题中的应用。BGP作为构建互联网路由表的机制，由于其原始协议缺乏安全特性，容易受到诸如前缀劫持和路由泄露等攻击。为了解决这些安全限制，2011年区域互联网注册机构（RIRs）开发了并部署了RPKI。尽管在早期存在一些争议，但随着时间的推移，RPKI的普及率显著提高。本文将分享在2019年IMC会议上展示的一项全面联合研究的成果，该研究探讨了RPKI部署的历史和现状，以及BGP公告的质量，以查看RPKI是否已经克服了早期的成长问题，并准备好登上大舞台。
RPKI部署的差异性
RPKI的部署在不同RIR之间存在显著差异：在ARIN中，1.38%的AS包含在一个或多个验证的ROA有效载荷（VRPs）中，而在RIPE NCC中，15.11%的AS包含在VRPs中。在AFRINIC中，2.7%的IPv4地址空间被VRPs覆盖，而在RIPE NCC中，这一比例为30.6%。在研究中，9.98%至11.28%的BGP公告被VRPs覆盖。RIRs和IXPs的推广工作有助于减少标记为无效的BGP公告数量；超过94.3%的由ROAs覆盖的公告是有效的。
RPKI的工作原理
RPKI使用分层公钥基础设施（PKI），将互联网号码资源（INRs），如IP地址，通过证书绑定到公钥。相应的私钥用于对这些INRs进行证明。例如，资源所有者可以生成称为路由起源授权（ROAs）的对象，这些对象授权AS宣布某些IP前缀。这些ROAs由其证书签名，最终由RIRs管理的RPKI信任锚（在其他PKI中相当于根证书）签名，并发布在所谓的RPKI存储库中。RPKI验证软件可以从存储库中检索所有RPKI对象，并执行内容加密验证，以生成一组有效的ROAs。验证路由器可以简单地使用这些ROAs来验证传入的BGP公告。
RPKI的挑战与机遇
考虑到RPKI与其他PKI协议（如DNSSEC和HTTPS）相比仍处于早期阶段，我们希望了解RPKI的当前状态及其更广泛采用的挑战。ROA中具体包含什么内容，以及如何创建和安装RPKI验证器，这些都是需要进一步研究和解决的问题。
结尾：
对于运维和网络工程师来说，了解RPKI的部署和有效性对于确保网络的安全性和稳定性至关重要。随着RPKI的普及，工程师们需要熟悉其工作原理，并能够有效地部署和维护RPKI验证器，以减少网络中的安全风险。通过提高对RPKI的认识和采用，网络工程师可以更好地保护他们的网络免受BGP攻击的侵害。
原文: APNIC Blog（2020-01-29）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog