Page 468 - 《软件学报》2026年第1期

张泽源 等: RPKI 测量研究综述 465

[4]
(Internet number resource, INR) 授权, 使用路由起源授权对象 (route origination authorization, ROA) 认证 IP 地址前缀
和合法自治域 (autonomous system, AS) 的映射关系. 依赖方 (relying party, RP) 从发布点同步 ROA 数据, 并进行路由
起源验证 (route origin validation, ROV) , 配置路由策略过滤与 ROA 冲突的路由信息, 来保护自己免受前缀劫持攻击.
[5]
RPKI 部署过程可分为 ROA 部署和 ROV 部署. 在 ROA 部署中, RPKI 参与者部署证书权威 (certificate authority,
CA), 签发资源证书或者 ROA, 对资源的分配与授权关系进行认证. RPKI 签名对象会被上传到分布式资料库中.
在 ROV 部署中, RPKI 参与者部署 RP, 从 RPKI 资料库同步、验证资源证书、ROA 等数据, 利用有效 ROA 过滤
前缀起源错误的路由信息.
作为新兴的互联网安全增强基础设施, 为了解 RPKI 的部署情况, 近年来对 RPKI 测量工作也在不断展开, 这
些工作主要可分为以下几类.
(1) RPKI 功能测量: 对 RPKI 的主要功能进行测量, 测量工作按照 CA 侧功能和 RP 侧功能分为两类.
● RPKI 数据对象签发情况测量: 主要测量 RPKI 数据对象的签发情况, 包括对 ROA 覆盖规模、RPKI 数据质
量的测量.
● ROV 测量: 主要测量互联网中实施 ROV 过滤的 AS, 即在域间路由中使用 ROV 来过滤无效路由信息的 AS.
(2) RPKI 基础设施测量: 对支撑 RPKI 功能所使用的底层组件如 CA、RP 等进行测量, 包括对软件的评估、
对运行情况 (例如, 是否与最佳实践相符) 和部署弹性 (例如, 是否部署安全防范措施等) 的测量.
目前对 RPKI 研究已有一些综述性的工作. 文献 [6] 总结了 RPKI 存在的一些问题, 包括可扩展性, 资料库恶
意操作, 资源重复分配等问题. 文献 [7] 总结了 RPKI 研究现状, 包括基于 RPKI 的应用和 RPKI 技术改进, 但未聚
焦在 RPKI 测量方面. 在 RPKI 测量工作的综述方面, 文献 [8] 从 ROA 部署、ROV 部署以及 RPKI 弹性这 3 个方
面对测量工作进行了详细综述, 但是缺失 ROV 部署测量方案分析, 也缺少 ROA 数据质量分析. 与上述工作对比,
本文全面梳理了 RPKI 测量工作并补充了方案对比分析.
本文第 1 节主要介绍 RPKI 的技术背景和发展现状. 第 2 节总结针对 RPKI 数据对象签发的测量工作, 包括
对 ROA 规模和 RPKI 数据质量的测量. 第 3 节总结 ROV 测量工作, 分析现有 ROV 测量方案优缺点. 第 4 节从支
撑 RPKI 功能的角度对 RPKI 基础设施测量工作进行梳理, 总结现有部署方案缺陷. 第 5 节总结分析 RPKI 在实际
部署应用中遇到的问题与挑战, 并给出相应建议. 第 6 节对全文进行总结, 并简述未来研究趋势.

1 RPKI 技术背景与架构

1.1 RPKI 技术背景
由于在设计之初缺乏安全性考虑, 随着网络的发展, BGP 协议在安全上的脆弱性逐渐显露 [9,10] . 前缀劫持是
BGP 面临的安全隐患之一, 其传播迅速, 严重影响了互联网的正常运行 [11−15] .
针对 BGP 协议的安全改进成为学术界和工业界的研究热点 [16−22] . 2000 年, Kent 等人 [20] 提出第 1 个 BGP 安全
增强技术 S-BGP, 利用密码学技术解决 BGP 协议的安全问题 [23] . 但其设计过于理想化, 未考虑路由器现实性能的
限制和互联网复杂的运行模式, 不适合实际部署使用 [24] .
2006 年, 互联网工程任务组成立了域间路由安全 (secure inter-domain routing, SIDR) 工作组, 开始对 RPKI 进
行设计、开发, 并于 2010 年开展 RPKI 标准化工作. RPKI 继承了 S-BGP 的设计思想 [25] , 并简化了设计和功能以
在互联网中实际部署. RPKI 利用数字证书体系认证互联网码号资源所有权, 保障路由起源信息的有效性. 2012 年
SIDR 工作组完成了 RPKI 整体技术框架和基础协议的标准化工作 [25] , 规范了 RPKI 的体系架构、资源管理模型、
证书与签名对象结构、签名密钥与算法、路由起源验证流程等内容 [1,3−5,26−35] . 同年, 全球 5 个地区性互联网注册
机构 (regional Internet register, RIR) 牵头开始正式生产部署 RPKI.
2017 年, RPKI 标准化工作宣告完成, 同年 IETF 成立了域间路由安全操作 (secure inter-domain routing
operations, SIDROPS) 工作组来解决 RPKI 部署和运维中发现的问题, 并进一步推动 RPKI 全球化部署. SIDR 工作
组在完成使命后于 2018 年解散.