□TELECOMMUNICATIONS NETWORK TECHNOLOGY No.9NETWORK TECHNOLOGYRPKI 概覽*馬摘迪中國互聯(lián)網(wǎng)絡(luò)信息中心要作為支撐互聯(lián)互通的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，

□TELECOMMUNICATIONS NETWORK TECHNOLOGY No.9NETWORK TECHNOLOGY

RPKI 概覽*

馬

摘

迪中國互聯(lián)網(wǎng)絡(luò)信息中心

要作為支撐互聯(lián)互通的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，域間路由系統(tǒng)對互聯(lián)網(wǎng)的安全有著至關(guān)重要的

影響。由于ＢＧＰ協(xié)議缺乏對路由通告內(nèi)容真實性的保證，黑客的蓄意攻擊行為以及錯誤的網(wǎng)絡(luò)參數(shù)配置都可以導(dǎo)致路由劫持現(xiàn)象的發(fā)生。作為繼ＤＮＳＳＥＣ之后ＩＣＡＮＮ下一個重點部署的互聯(lián)網(wǎng)安全基礎(chǔ)設(shè)施，ＲＰＫＩ從ＩＰ地址資源管理的角度出發(fā)，構(gòu)建了一個ＩＰ地址資源授權(quán)認(rèn)證體系，用以驗證ＡＳ針對特定ＩＰ地址前綴的路由通告是否合法，并為域間路由安全方案（例如Ｓ－ＢＧＰ，

ＢＧＰＳＥＣ）的實施提供了一個可信的信息源。圍繞ＲＰＫＩ的部署和業(yè)務(wù)開展，本文首先回顧了ＲＰＫＩ

的歷史由來，然后從技術(shù)要素、運行機制和標(biāo)準(zhǔn)化工作等三個層面對ＲＰＫＩ的基本原理進(jìn)行了介紹。

關(guān)鍵詞ＲＰＫＩ技術(shù)要素運行機制標(biāo)準(zhǔn)化工作

1引言

由于ＩＰｖ４地址空間的局限，互聯(lián)網(wǎng)開始了向

ＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ）以期構(gòu)建一個支撐域間路由安全的互聯(lián)網(wǎng)基礎(chǔ)資源管理系統(tǒng)。

——ＲＰＫＩ業(yè)務(wù)的興起源自一種互聯(lián)網(wǎng)安全威脅—路由劫持。由于ＢＧＰ協(xié)議缺乏對路由通告內(nèi)容真實性的保證，黑客的蓄意攻擊以及錯誤的網(wǎng)絡(luò)參數(shù)配置都可以導(dǎo)致路由劫持現(xiàn)象的發(fā)生。路由劫持對互聯(lián)網(wǎng)的正常運行影響極大，導(dǎo)致大面積的網(wǎng)絡(luò)癱瘓。見諸報端的典型路由劫持事件有：１９９７年４月的“ＡＳ７００７

ＩＰｖ６的演進(jìn)。在向ＩＰｖ６過渡的進(jìn)程中，以“構(gòu)建從可用到可信的互聯(lián)網(wǎng)”為目標(biāo)，互聯(lián)網(wǎng)的基礎(chǔ)設(shè)施也正在經(jīng)歷著深刻的變化。作為支撐互聯(lián)互通的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，域名系統(tǒng)和域間路由系統(tǒng)對互聯(lián)網(wǎng)的安全有著至關(guān)重要的影響。在域名系統(tǒng)層面，伴隨著ＩＣＡＮＮ（ＴｈｅＩｎｔｅｒｎｅｔＣｏｒｐｏｒａｔｉｏｎｆｏｒＡｓｓｉｇｎｅｄＮａｍｅｓａｎｄ

Ｉｎｃｉｄｅｎｔ”事件，２００４年的１２月土耳其ＴＴＮｅｔ路由劫持事件，２００６年１月Ｃｏｎ－Ｅｄｉｓｏｎ路由劫持事件以及

Ｎｕｍｂｅｒｓ）于２００９年末對ＤＮＳ根區(qū)（ＲｏｏｔＺｏｎｅ）實施簽名，ＤＮＳＳＥＣ將成為ＤＮＳ安全的基石；而在域間路由系統(tǒng)層面，互聯(lián)網(wǎng)社區(qū)則計劃部署ＲＰＫＩ（Ｒｅｓｏｕｒｃｅ

２００８年巴基斯坦電信劫持ＹｏｕＴｕｂｅ流量事件等。

為增強域間路由系統(tǒng)的安全，不少研究針對ＢＧＰ

□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□

＋ＣＧＮ解決方案。在江蘇、湖南、四川等省的ＩＰｖ６過渡技術(shù)試點中完成包括雙棧ｃＧＮ，Ｄｓ－Ｌｉｔｅ和現(xiàn)網(wǎng)ＣＧＮ等多種過渡場景驗證和測試，并積極摸索符合現(xiàn)網(wǎng)場景的多種過渡技術(shù)組合方案，以探索出立足現(xiàn)網(wǎng)，低成本、可規(guī)模復(fù)制的ＩＰｖ６過渡方案。２０１２年２～５月相繼在成都、長沙、無錫完成了商用試點，目前，已經(jīng)覆蓋１８萬ＩＰｖ６用戶，開通１．３萬雙棧＋ＣＧＮ用戶，３．３萬ＣＧＮ用戶。驗證了華為提供的方案的成熟性和易部署性，

ＤＳ－ｌｉｔｅ用戶正在逐步開展放號工作，解決了創(chuàng)新技術(shù)在部署過程中的一些問題，方案逐步完善。

華為ＩＰｖ６及ＣＧＮ過渡技術(shù)研究、產(chǎn)品實現(xiàn)及網(wǎng)絡(luò)部署實踐方面積累了豐富的經(jīng)驗，將鼎力支持國家寬帶中國下一代互聯(lián)網(wǎng)戰(zhàn)略的全面推進(jìn)，十二五期間實現(xiàn)ＩＰｖ６的大規(guī)模部署商用。

（收稿日期：2012-08-20）

*基金項目：發(fā)改委ＣＮＧＩ專項［２０１２１７６３號］，２０１２年下一代互聯(lián)網(wǎng)技術(shù)研發(fā)、產(chǎn)業(yè)化和規(guī)模商用專項資助項目

·３０·

網(wǎng)絡(luò)技術(shù)協(xié)議層面的缺陷提出了解決方案，其中以ＢＢＮ公司ＳｔｅｐｈｅｎＫｅｎｔ提出的Ｓ－ＢＧＰ和思科公司ＲｕｓｓＷｈｉｔｅ提出的ｓｏＢＧＰ在工業(yè)界最具影響。ＲＰＫＩ的概念最早誕生于描述Ｓ－ＢＧＰ方案的論文中。Ｓ－ＢＧＰ提出了一種附加簽名的ＢＧＰ消息格式，用以驗證路由通告中ＩＰ地址前綴和傳播路徑上ＡＳ號的綁定關(guān)系，從而避免路由劫持?；谶@樣的設(shè)計，數(shù)字證書和簽名機制被引入ＢＧＰ范疇，需要ＰＫＩ的支持。為驗證路由通告簽名者所持有的公鑰，該簽名者的ＩＰ地址分配上游為其簽發(fā)證書，一方面驗證其公鑰，一方面驗證該實體對某個ＩＰ地址前綴的管理權(quán)。基于ＩＰ地址資源分配關(guān)系而形成的公鑰證書體系，ＲＰＫＩ的基本框架就此形成。

目前，ＲＰＫＩ相關(guān)技術(shù)的標(biāo)準(zhǔn)化工作正在ＩＥＴＦ域間路由安全（ＳｅｃｕｒｅＩｎｔｅｒ－ｄｏｍａｉｎＲｏｕｔｉｎｇ，ＳＩＤＲ）工作組持續(xù)開展，本文將依據(jù)ＲＰＫＩ在ＩＥＴＦ已經(jīng)形成結(jié)論或討論較為成熟的內(nèi)容，對相關(guān)技術(shù)進(jìn)行介紹。

2RPKI 基本原理

顧名思義，ＲＰＫＩ是一種用于保障互聯(lián)網(wǎng)基礎(chǔ)號

碼資源（包含ＩＰ地址，ＡＳ號）安全使用的公鑰基礎(chǔ)設(shè)施。通過對Ｘ．５０９公鑰證書進(jìn)行擴展，ＲＰＫＩ依托資源證書實現(xiàn)了對互聯(lián)網(wǎng)基礎(chǔ)號碼資源使用授權(quán)的認(rèn)證，并以路由源聲明（ＲｏｕｔｅＯｒｉｇｉｎＡｔｔｅｓｔａｔｉｏｎ，ＲＯＡ）的形式幫助域間路由系統(tǒng)，驗證某個ＡＳ針對特定ＩＰ地址前綴的路由通告是否合法。此外，ＲＰＫＩ證書體系以及

ＲＰＫＩ資料庫還為域間路由安全方案（例如Ｓ－ＢＧＰ）的實施提供了一個可信的數(shù)據(jù)源。下文將從ＲＰＫＩ證書體系、ＲＯＡ和ＲＰＫＩ資料庫（Ｒｅｐｏｓｉｔｏｒｙ）等方面對ＲＰ－

ＫＩ范疇的相關(guān)原理進(jìn)行介紹。2.1RPKI 證書體系

ＲＰＫＩ范疇有兩種證書，一種為ＣＡ證書，用以證明某個實體對ＩＰ地址和ＡＳ號的所有權(quán)；一種稱之為

ＥＥ（ＥｎｄＥｎｔｉｔｙ，終端實體）證書，用以對ＩＰ地址前綴的路由源信息添加簽名。在ＲＰＫＩ中，驗證關(guān)系由ＩＰ地址分配關(guān)系決定，并通過對傳統(tǒng)的Ｘ．５０９證書進(jìn)行擴展加以實現(xiàn)。使用Ｘ．５０９證書來攜帶ＩＰ地址和ＡＳ號信息的方法已經(jīng)以ＲＦＣ３７７９的形式在ＩＥＴＦ完成了標(biāo)準(zhǔn)化，詳細(xì)規(guī)范了ＩＰ地址和ＡＳ號作為擴展域在

Ｘ．５０９證書中的編碼格式。ＡＳ號和ＩＰ地址擴展域在

《電信網(wǎng)技術(shù)》2012年9月第9期

Ｘ．５０９證書中被標(biāo)識為關(guān)鍵擴展（Ｃｒｉｔｉｃａｌ），也即該項信息必須被驗證。

當(dāng)某個ＩＰ地址資源持有者（ＲＰＫＩ體系中的ＣＡ證書持有者）需要授權(quán)某個ＡＳ為其特定的ＩＰ地址前綴通告路由可達(dá)信息時，該ＩＰ地址資源持有者使用其持有ＣＡ證書對應(yīng)的私鑰簽發(fā)一個ＥＥ證書，然后再用ＥＥ證書對應(yīng)的私鑰產(chǎn)生“路由源聲明”簽名項，ＥＥ證書中的ＩＰ地址前綴與“路由源聲明”所表征的ＩＰ地址前綴須完全一致。

全球范圍內(nèi)的ＩＰ地址分配管理體系決定了ＲＰＫＩ體系內(nèi)證書的驗證路徑，ＩＰ地址分配管理體系中的地址分配者和地址申請者相應(yīng)地成為ＩＰ地址資源證書的頒發(fā)者和持有者。換言之，在ＩＰ地址分配樹中，上游節(jié)點既是其鄰接下游節(jié)點的資源分配者，也是其鄰接下游節(jié)點所持有資源證書的頒發(fā)者。

2.2ROA

ＲＯＡ，即路由源聲明，包含一個ＡＳ號同一個或多個ＩＰ地址前綴之間的“綁定關(guān)系”。其真實性由ＲＯＡ中ＩＰ地址前綴對應(yīng)的ＥＥ證書添加簽名加以保證?；冢遥希恋脑O(shè)計，ＲＰＫＩ驗證者（ＲｅｌｙｉｎｇＰａｒｔｙ，ＲＰ）通過驗證ＲＯＡ來判斷一個ＡＳ是否被ＩＰ地址資源的持有者授權(quán)通告對應(yīng)ＩＰ地址前綴的路由信息。

當(dāng)需要授權(quán)某個ＡＳ對特定的ＩＰ地址前綴進(jìn)行路由通告時，該ＩＰ地址前綴的持有者產(chǎn)生ＲＯＡ，并通過ＲＰＫＩ資料庫加以存儲和發(fā)布，供ＲＰ下載和驗證。為了撤銷的便利，ＩＰ地址資源持有者（ＣＡ）通常為每一個ＲＯＡ的產(chǎn)生獨立地頒發(fā)一個ＥＥ證書，也即

ＲＯＡ和ＥＥ證書具有一一對應(yīng)關(guān)系。這樣設(shè)計的好處是，通過撤銷ＥＥ證書就可以實現(xiàn)對ＲＯＡ的更新，而無需設(shè)計專門的ＲＯＡ撤銷機制。ＥＥ證書和ＲＯＡ的一一對應(yīng)關(guān)系決定了ＥＥ證書的公鑰僅用于產(chǎn)生一次

ＲＯＡ簽名項。ＲＯＡ簽名項一旦生成，ＥＥ證書對應(yīng)的私鑰即可銷毀，簡化了密鑰管理。

2.3RPKI 資料庫

ＲＰＫＩ中所有證書以及簽名對象（例如ＲＯＡ）都在ＲＰＫＩ資料庫存儲并加以發(fā)布，由證書頒發(fā)者和簽名者負(fù)責(zé)相關(guān)數(shù)據(jù)的上載?；诜植际降模桑械刂贩峙涔芾眢w系，ＲＰＫＩ資料庫的部署相應(yīng)地采用了分布式系統(tǒng)，該系統(tǒng)使用目錄對數(shù)據(jù)進(jìn)行組織，并通過資源證書中的ＳＩＡ（ＳｕｂｊｅｃｔＩｎｆｏｒｍａｔｉｏｎＡｕｔｈｏｒｉｔｙ）和ＡＩＡ（Ａｕ－

·３１·

□TELECOMMUNICATIONS NETWORK TECHNOLOGY No.9NETWORK TECHNOLOGY

ｔｈｏｒｉｔｙＩｎｆｏｒｍａｔｉｏｎＡｕｔｈｏｒｉｔｙ）對相關(guān)數(shù)據(jù)的存取定位信息加以描述?？紤]到ＲＰ需要周期地下載相關(guān)證書和

ＲＰ功能組件的設(shè)計是ＲＰＫＩ在運行實踐層面的關(guān)鍵環(huán)節(jié)，是ＲＰＫＩ證書體系和互聯(lián)網(wǎng)域間路由系統(tǒng)之間進(jìn)行交互的橋梁，圖２給出了ＢＢＮ公司設(shè)計的

ＲＰＫＩ簽名對象，ＲＰＫＩ資料的存取基于增量下載機制，使用一種稱為ｒｓｙｎｃ的協(xié)議完成ＲＰＫＩ資料同步。

ＲＰ功能組件的模塊圖，其中ＲＰ的ＵＲＩＣｈａｓｅｒ是一個非同步進(jìn)程，用以主動尋找新頒發(fā)證書，ＣＲＬ以及

ＲＰＫＩ資料庫系統(tǒng)可能遭受多種形式的攻擊。例如，一個過期的簽名項（例如ＲＯＡ）可能會被用來替換當(dāng)前版本；一個有效的條目（例如ＣＡ證書）可能在驗證者沒有察覺的情況下被攻擊者從ＲＰＫＩ資料庫中刪除從而導(dǎo)致證書路徑構(gòu)建的失敗。為保護(hù)ＲＰＫＩ資料庫的內(nèi)容完整性，ＲＰＫＩ設(shè)計了資料清單（Ｍａｎｉｆｅｓｔ），用于羅列ＲＰＫＩ資料庫中所有未過期的證書，ＣＲＬ以及ＲＯＡ等簽名項，并包含了這些文件的名稱以及文件內(nèi)容的哈希。ＲＰＫＩ資料清單的核心作用是幫助ＲＰ構(gòu)造ＲＰＫＩ數(shù)據(jù)的可信本地緩存。

ＲＯＡ發(fā)布點的模塊。相關(guān)簽名項經(jīng)過驗證后在ＲＰ本地緩存，并通過ＲＴＲ協(xié)議提供給邊界路由器。

在ＲＰＫＩ體系中，證書和簽名對象的驗證導(dǎo)致ＲＰ計算負(fù)擔(dān)最重，而本地緩存和信任錨點（ＴｒｕｓｔＡｎｃｈｏｒ）的維護(hù)則使得ＲＰ還承擔(dān)復(fù)雜的管理任務(wù)。盡管較大的運營商有能力在自己的網(wǎng)絡(luò)內(nèi)獨立地部署ＲＰ，但較小的企業(yè)或中?。桑樱锌赡苓€是傾向使用第三方提供的ＲＰ服務(wù)。隨著云計算模式日趨普遍，這種第三方的

ＲＰ服務(wù)或?qū)⒅饾u遷移到云端，使得ＲＰＫＩ業(yè)務(wù)作為互聯(lián)網(wǎng)公共服務(wù)的定位更加清晰。

2.4RPKI 運行機制

在ＲＰＫＩ完全部署之后，相關(guān)證書的頒發(fā)行為不是獨立的事務(wù)，而是全球ＩＰ地址資源分配流程中的一個必需環(huán)節(jié)。每當(dāng)有ＩＰ地址資源分配事務(wù)發(fā)生，地址注冊機構(gòu)，ＩＳＰ等實體將相應(yīng)的證書，ＲＯＡ以及其它

3RPKI 技術(shù)的實踐與標(biāo)準(zhǔn)化

ＲＰＫＩ概念問世以來，得到了工業(yè)界的廣泛關(guān)注和

ＲＰＫＩ簽名項向ＲＰＫＩ資料庫上載，ＲＰ定期地下載這些簽名項，將驗證之后的ＩＰ地址授權(quán)信息分發(fā)給相關(guān)的邊界路由器。當(dāng)有新的路由通告到達(dá)這些邊界路由器時，ＲＰ提供的ＩＰ地址授權(quán)信息就成為邊界路由器判斷路由通告是否可信的一個依據(jù)。圖１給出了ＲＰ－

研究。一方面，全球五大ＩＰ地址注冊機構(gòu)（ＲｅｇｉｏｎａｌＩｎ－

ｔｅｒｎｅｔＲｅｇｉｓｔｒｙ，ＲＩＲ）均已開展ＲＰＫＩ業(yè)務(wù)，向其會員開放了資源證書申請；另一方面，包括設(shè)備制造商（思科）、電信服務(wù)商（ＮＴＴ）、內(nèi)容提供商（Ｇｏｏｇｌｅ）以及技術(shù)提供服務(wù)商（ＢＢＮ，ＩＳＣ）等在內(nèi)的產(chǎn)業(yè)鏈各個實體也積極參與ＲＰＫＩ相關(guān)技術(shù)的研發(fā)，并與２００９年構(gòu)建了一

個面向全球的ＲＰＫＩ試驗床。

基于實踐中發(fā)現(xiàn)的問題和總結(jié)的對策，以及互聯(lián)網(wǎng)社區(qū)的廣泛討論，２０１２年２月，

ＫＩ作模型的一個示例。

ＩＥＴＦ的ＳＩＤＲ工作組發(fā)布了１４個和ＲＰＫＩ相關(guān)的ＲＦＣ文檔（ＲＦＣ６４８０￣ＲＦＣ６４９３），涵蓋

ＲＰＫＩ的體系結(jié)構(gòu)、操作模型、密鑰算法、證書策略、運行管理等支撐ＲＰＫＩ運行的各個關(guān)鍵環(huán)節(jié)，標(biāo)志著ＲＰＫＩ在技術(shù)層面已經(jīng)基本成熟。在ＲＰＫＩ范疇，部分技術(shù)的標(biāo)準(zhǔn)化仍在進(jìn)行中，路由器獲?。桑械刂肥跈?quán)信息的ＲＴＲ協(xié)議和ＲＰＫＩ本地

圖1RPKI 運行機制示例

·３２·

網(wǎng)絡(luò)技術(shù)《電信網(wǎng)技術(shù)》2012年9月第9期

信任錨點管理機制是其中將會對ＲＰＫＩ的運行產(chǎn)生重要影響的標(biāo)準(zhǔn)化內(nèi)容。

繼ＤＮＳＳＥＣ之后，ＲＰＫＩ成為ＩＣＡＮＮ下一個重點推廣和部署的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施。ＩＣＡＮＮ制定的２０１１

年７月～２０１４年６月的階段性戰(zhàn)略計劃，多處提到要大力發(fā)展ＲＰＫＩ，并特別強調(diào)ＲＰＫＩ的部署是今后一段時間ＩＡＮＡ（ＩｎｔｅｒｎｅｔＡｓｓｉｇｎｅｄＮｕｍｂｅｒｓＡｕ－

ｔｈｏｒｉｔｙ）職能在互聯(lián)網(wǎng)安全范疇的重要體現(xiàn)。

ＲＰＫＩ在全球范圍內(nèi)的運行將是一個復(fù)雜的系統(tǒng)工程，需要地址注冊機構(gòu)、設(shè)備制造商、服務(wù)提供商以及電信運營商等眾多角色的通力配合和專業(yè)管理，任何一個環(huán)節(jié)的差錯都將對互聯(lián)網(wǎng)路由系統(tǒng)造成巨大影響。我國互聯(lián)網(wǎng)工業(yè)界應(yīng)重視起ＲＰＫＩ，充分調(diào)研，及早

圖2BBN 公司RPKI 驗證代理功能組件

實踐，為ＲＰＫＩ今后的部署和運行積累經(jīng)驗。

ＩＰ地址轉(zhuǎn)移和跨級認(rèn)證也是近來ＳＩＤＲ工作組中討論的熱點。由于ＩＰｖ４地址趨于耗盡，ＩＰｖ４地址資源相對富余的持有者可能傾向?qū)⒉糠帜酥寥浚桑校觯吹刂废蚱渌脩暨M(jìn)行轉(zhuǎn)讓，ＩＰｖ４地址所有權(quán)的轉(zhuǎn)讓會對

參考文獻(xiàn)

１Ｒ．Ａｒｅｎｄｓ，Ｒ．Ａｕｓｔｅｉｎ，Ｍ．Ｌａｒｓｏｎ，Ｄ．ＭａｓｓｅｙａｎｄＳ．Ｒｏｓｅ．ＤＮＳＳｅｃｕｒｉｔｙＩｎｔｒｏｄｕｃｔｉｏｎａｎｄＲｅｑｕｉｒｅｍｅｎｔｓ．ＲＦＣ４０３３．２００５２Ｓ．Ｋｅｎｔ，Ｃ．Ｌｙｎｎ，Ｋ．Ｓｅｏ．Ｓｅｃｕｒｅｂｏｒｄｅｒｇａｔｅｗａｙｐｒｏｔｏｃｏｌ（Ｓ－ＢＧＰ）．ＩＥＥＥＪｏｕｒｎａｌｏｎＳｅｌｅｃｔｅｄＡｒｅａｓｉｎＣｏｍｍｕｎｉｃａｔｉｏｎｓ．２０００，１８（４）：５８２－５９２

３Ｒ．Ｗｈｉｔｅ．ＳｅｃｕｒｉｎｇＢＧＰｔｈｒｏｕｇｈｓｅｃｕｒｅｏｒｉｇｉｎＢＧＰ（ＳｏＢＧＰ）．ＴｈｅＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＪｏｕｒｎａｌ，２００３，６（３）：１５－２２

４Ｍ．Ｌｅｐｉｎｓｋｉ，Ｓ．Ｋｅｎｔ．ＡｎＩｎｆｒａｓｔｒｕｃｔｕｒｅｔｏＳｕｐｐｏｒｔＳｅｃｕｒｅＩｎｔｅｒｎｅｔＲｏｕｔｉｎｇ．ＲＦＣ６４８０．２，２０１２

５Ｍ．Ｌｅｐｉｎｓｋｉ，Ｓ．Ｋｅｎｔ，Ｄ．Ｋｏｎｇ．ＡＰｒｏｆｉｌｅｆｏｒＲｏｕｔｅＯｒｉｇｉｎＡｕｔｈｏｒｉｚａｔｉｏｎｓ（ＲＯＡｓ）．ＲＦＣ６４８２．２，２０１２

６Ｇ．Ｈｕｓｔｏｎ，Ｒ．Ｌｏｏｍａｎｓ，Ｇ．Ｍｉｃｈａｅｌｓｏｎ．ＡＰｒｏｆｉｌｅｆｏｒＲｅｓｏ－ｕｒｃｅＣｅｒｔｉｆｉｃａｔｅＲｅｐｏｓｉｔｏｒｙＳｔｒｕｃｔｕｒｅ．ＲＦＣ６４８１．２，２０１２７Ｃ．Ｌｙｎｎ，Ｓ．Ｋｅｎｔ，Ｋ．Ｓｅｏ．Ｘ．５０９ＥｘｔｅｎｓｉｏｎｓｆｏｒＩＰＡｄｄｒｅｓｓｅｓａｎｄＡＳＩｄｅｎｔｉｆｉｅｒｓ．ＲＦＣ３７７９．Ｊ６，２００４

８Ｓ．Ｗｅｉｌｅｒ，Ｄ．Ｗａｒｄ，Ｒ．Ｈｏｕｓｌｅｙ．ＴｈｅｒｓｙｎｃＵＲＩＳｃｈｅｍｅ．ＲＦＣ５７８１．２，２０１０

９Ｒ．Ａｕｓｔｅｉｎ，Ｇ．Ｈｕｓｔｏｎ，Ｓ．Ｋｅｎｔ，Ｍ．Ｌｅｐｉｎｓｋｉ．ＭａｎｉｆｅｓｔｓｆｏｒｔｈｅＲｅｓｏｕｒｃｅＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ（ＲＰＫＩ）．ＲＦＣ６４８６．

（收稿日期：2012-08-14）２，２０１２

ＲＰＫＩ的證書管理和以及路由信息的驗證造成影響，需要在ＲＰＫＩ的技術(shù)和運行層面加以考量；至于跨域認(rèn)證，則是指由于管理和運營上的需求，ＩＰ地址分配體系中的某個節(jié)點期望繞過其父節(jié)點，而直接向更上游的節(jié)點申請ＲＰＫＩ證書服務(wù)，同樣需要ＳＩＤＲ工作組妥善處理，并考慮是否對ＲＰＫＩ進(jìn)行調(diào)整。

4結(jié)束語

作為面向域間路由安全的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，在

ＩＰｖ６時代，ＲＰＫＩ有望同ＤＮＳＳＥＣ一道，為互聯(lián)網(wǎng)的安全運行構(gòu)筑一個可信的基礎(chǔ)資源管理體系?；冢遥校?/p>

ＫＩ所構(gòu)建的可信ＩＰ地址資源認(rèn)證體系，一個稱為ＢＧＰＳＥＣ的協(xié)議正在ＩＥＴＦ進(jìn)行系統(tǒng)地標(biāo)準(zhǔn)化工作，旨在彌補傳統(tǒng)ＢＧＰ在安全范疇的不足，以全面構(gòu)建安全的域間路由系統(tǒng)。

·３３·