□TELECOMMUNICATIONS NETWORK TECHNOLOGY No.9NETWORK TECHNOLOGYRPKI 概覽*馬摘迪中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心要作為支撐互聯(lián)互通的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，

□TELECOMMUNICATIONS NETWORK TECHNOLOGY No.9NETWORK TECHNOLOGY

RPKI 概覽*

馬

摘

迪中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心

要作為支撐互聯(lián)互通的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，域間路由系統(tǒng)對(duì)互聯(lián)網(wǎng)的安全有著至關(guān)重要的

影響。由于ＢＧＰ協(xié)議缺乏對(duì)路由通告內(nèi)容真實(shí)性的保證，黑客的蓄意攻擊行為以及錯(cuò)誤的網(wǎng)絡(luò)參數(shù)配置都可以導(dǎo)致路由劫持現(xiàn)象的發(fā)生。作為繼ＤＮＳＳＥＣ之后ＩＣＡＮＮ下一個(gè)重點(diǎn)部署的互聯(lián)網(wǎng)安全基礎(chǔ)設(shè)施，ＲＰＫＩ從ＩＰ地址資源管理的角度出發(fā)，構(gòu)建了一個(gè)ＩＰ地址資源授權(quán)認(rèn)證體系，用以驗(yàn)證ＡＳ針對(duì)特定ＩＰ地址前綴的路由通告是否合法，并為域間路由安全方案（例如Ｓ－ＢＧＰ，

ＢＧＰＳＥＣ）的實(shí)施提供了一個(gè)可信的信息源。圍繞ＲＰＫＩ的部署和業(yè)務(wù)開展，本文首先回顧了ＲＰＫＩ

的歷史由來，然后從技術(shù)要素、運(yùn)行機(jī)制和標(biāo)準(zhǔn)化工作等三個(gè)層面對(duì)ＲＰＫＩ的基本原理進(jìn)行了介紹。

關(guān)鍵詞ＲＰＫＩ技術(shù)要素運(yùn)行機(jī)制標(biāo)準(zhǔn)化工作

1引言

由于ＩＰｖ４地址空間的局限，互聯(lián)網(wǎng)開始了向

ＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ）以期構(gòu)建一個(gè)支撐域間路由安全的互聯(lián)網(wǎng)基礎(chǔ)資源管理系統(tǒng)。

——ＲＰＫＩ業(yè)務(wù)的興起源自一種互聯(lián)網(wǎng)安全威脅—路由劫持。由于ＢＧＰ協(xié)議缺乏對(duì)路由通告內(nèi)容真實(shí)性的保證，黑客的蓄意攻擊以及錯(cuò)誤的網(wǎng)絡(luò)參數(shù)配置都可以導(dǎo)致路由劫持現(xiàn)象的發(fā)生。路由劫持對(duì)互聯(lián)網(wǎng)的正常運(yùn)行影響極大，導(dǎo)致大面積的網(wǎng)絡(luò)癱瘓。見諸報(bào)端的典型路由劫持事件有：１９９７年４月的“ＡＳ７００７

ＩＰｖ６的演進(jìn)。在向ＩＰｖ６過渡的進(jìn)程中，以“構(gòu)建從可用到可信的互聯(lián)網(wǎng)”為目標(biāo)，互聯(lián)網(wǎng)的基礎(chǔ)設(shè)施也正在經(jīng)歷著深刻的變化。作為支撐互聯(lián)互通的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，域名系統(tǒng)和域間路由系統(tǒng)對(duì)互聯(lián)網(wǎng)的安全有著至關(guān)重要的影響。在域名系統(tǒng)層面，伴隨著ＩＣＡＮＮ（ＴｈｅＩｎｔｅｒｎｅｔＣｏｒｐｏｒａｔｉｏｎｆｏｒＡｓｓｉｇｎｅｄＮａｍｅｓａｎｄ

Ｉｎｃｉｄｅｎｔ”事件，２００４年的１２月土耳其ＴＴＮｅｔ路由劫持事件，２００６年１月Ｃｏｎ－Ｅｄｉｓｏｎ路由劫持事件以及

Ｎｕｍｂｅｒｓ）于２００９年末對(duì)ＤＮＳ根區(qū)（ＲｏｏｔＺｏｎｅ）實(shí)施簽名，ＤＮＳＳＥＣ將成為ＤＮＳ安全的基石；而在域間路由系統(tǒng)層面，互聯(lián)網(wǎng)社區(qū)則計(jì)劃部署ＲＰＫＩ（Ｒｅｓｏｕｒｃｅ

２００８年巴基斯坦電信劫持ＹｏｕＴｕｂｅ流量事件等。

為增強(qiáng)域間路由系統(tǒng)的安全，不少研究針對(duì)ＢＧＰ

□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□□

＋ＣＧＮ解決方案。在江蘇、湖南、四川等省的ＩＰｖ６過渡技術(shù)試點(diǎn)中完成包括雙棧ｃＧＮ，Ｄｓ－Ｌｉｔｅ和現(xiàn)網(wǎng)ＣＧＮ等多種過渡場(chǎng)景驗(yàn)證和測(cè)試，并積極摸索符合現(xiàn)網(wǎng)場(chǎng)景的多種過渡技術(shù)組合方案，以探索出立足現(xiàn)網(wǎng)，低成本、可規(guī)模復(fù)制的ＩＰｖ６過渡方案。２０１２年２～５月相繼在成都、長(zhǎng)沙、無錫完成了商用試點(diǎn)，目前，已經(jīng)覆蓋１８萬ＩＰｖ６用戶，開通１．３萬雙棧＋ＣＧＮ用戶，３．３萬ＣＧＮ用戶。驗(yàn)證了華為提供的方案的成熟性和易部署性，

ＤＳ－ｌｉｔｅ用戶正在逐步開展放號(hào)工作，解決了創(chuàng)新技術(shù)在部署過程中的一些問題，方案逐步完善。

華為ＩＰｖ６及ＣＧＮ過渡技術(shù)研究、產(chǎn)品實(shí)現(xiàn)及網(wǎng)絡(luò)部署實(shí)踐方面積累了豐富的經(jīng)驗(yàn)，將鼎力支持國(guó)家寬帶中國(guó)下一代互聯(lián)網(wǎng)戰(zhàn)略的全面推進(jìn)，十二五期間實(shí)現(xiàn)ＩＰｖ６的大規(guī)模部署商用。

（收稿日期：2012-08-20）

*基金項(xiàng)目：發(fā)改委ＣＮＧＩ專項(xiàng)［２０１２１７６３號(hào)］，２０１２年下一代互聯(lián)網(wǎng)技術(shù)研發(fā)、產(chǎn)業(yè)化和規(guī)模商用專項(xiàng)資助項(xiàng)目

·３０·

網(wǎng)絡(luò)技術(shù)協(xié)議層面的缺陷提出了解決方案，其中以ＢＢＮ公司ＳｔｅｐｈｅｎＫｅｎｔ提出的Ｓ－ＢＧＰ和思科公司ＲｕｓｓＷｈｉｔｅ提出的ｓｏＢＧＰ在工業(yè)界最具影響。ＲＰＫＩ的概念最早誕生于描述Ｓ－ＢＧＰ方案的論文中。Ｓ－ＢＧＰ提出了一種附加簽名的ＢＧＰ消息格式，用以驗(yàn)證路由通告中ＩＰ地址前綴和傳播路徑上ＡＳ號(hào)的綁定關(guān)系，從而避免路由劫持?；谶@樣的設(shè)計(jì)，數(shù)字證書和簽名機(jī)制被引入ＢＧＰ范疇，需要ＰＫＩ的支持。為驗(yàn)證路由通告簽名者所持有的公鑰，該簽名者的ＩＰ地址分配上游為其簽發(fā)證書，一方面驗(yàn)證其公鑰，一方面驗(yàn)證該實(shí)體對(duì)某個(gè)ＩＰ地址前綴的管理權(quán)?；冢桑械刂焚Y源分配關(guān)系而形成的公鑰證書體系，ＲＰＫＩ的基本框架就此形成。

目前，ＲＰＫＩ相關(guān)技術(shù)的標(biāo)準(zhǔn)化工作正在ＩＥＴＦ域間路由安全（ＳｅｃｕｒｅＩｎｔｅｒ－ｄｏｍａｉｎＲｏｕｔｉｎｇ，ＳＩＤＲ）工作組持續(xù)開展，本文將依據(jù)ＲＰＫＩ在ＩＥＴＦ已經(jīng)形成結(jié)論或討論較為成熟的內(nèi)容，對(duì)相關(guān)技術(shù)進(jìn)行介紹。

2RPKI 基本原理

顧名思義，ＲＰＫＩ是一種用于保障互聯(lián)網(wǎng)基礎(chǔ)號(hào)

碼資源（包含ＩＰ地址，ＡＳ號(hào)）安全使用的公鑰基礎(chǔ)設(shè)施。通過對(duì)Ｘ．５０９公鑰證書進(jìn)行擴(kuò)展，ＲＰＫＩ依托資源證書實(shí)現(xiàn)了對(duì)互聯(lián)網(wǎng)基礎(chǔ)號(hào)碼資源使用授權(quán)的認(rèn)證，并以路由源聲明（ＲｏｕｔｅＯｒｉｇｉｎＡｔｔｅｓｔａｔｉｏｎ，ＲＯＡ）的形式幫助域間路由系統(tǒng)，驗(yàn)證某個(gè)ＡＳ針對(duì)特定ＩＰ地址前綴的路由通告是否合法。此外，ＲＰＫＩ證書體系以及

ＲＰＫＩ資料庫(kù)還為域間路由安全方案（例如Ｓ－ＢＧＰ）的實(shí)施提供了一個(gè)可信的數(shù)據(jù)源。下文將從ＲＰＫＩ證書體系、ＲＯＡ和ＲＰＫＩ資料庫(kù)（Ｒｅｐｏｓｉｔｏｒｙ）等方面對(duì)ＲＰ－

ＫＩ范疇的相關(guān)原理進(jìn)行介紹。2.1RPKI 證書體系

ＲＰＫＩ范疇有兩種證書，一種為ＣＡ證書，用以證明某個(gè)實(shí)體對(duì)ＩＰ地址和ＡＳ號(hào)的所有權(quán)；一種稱之為

ＥＥ（ＥｎｄＥｎｔｉｔｙ，終端實(shí)體）證書，用以對(duì)ＩＰ地址前綴的路由源信息添加簽名。在ＲＰＫＩ中，驗(yàn)證關(guān)系由ＩＰ地址分配關(guān)系決定，并通過對(duì)傳統(tǒng)的Ｘ．５０９證書進(jìn)行擴(kuò)展加以實(shí)現(xiàn)。使用Ｘ．５０９證書來攜帶ＩＰ地址和ＡＳ號(hào)信息的方法已經(jīng)以ＲＦＣ３７７９的形式在ＩＥＴＦ完成了標(biāo)準(zhǔn)化，詳細(xì)規(guī)范了ＩＰ地址和ＡＳ號(hào)作為擴(kuò)展域在

Ｘ．５０９證書中的編碼格式。ＡＳ號(hào)和ＩＰ地址擴(kuò)展域在

《電信網(wǎng)技術(shù)》2012年9月第9期

Ｘ．５０９證書中被標(biāo)識(shí)為關(guān)鍵擴(kuò)展（Ｃｒｉｔｉｃａｌ），也即該項(xiàng)信息必須被驗(yàn)證。

當(dāng)某個(gè)ＩＰ地址資源持有者（ＲＰＫＩ體系中的ＣＡ證書持有者）需要授權(quán)某個(gè)ＡＳ為其特定的ＩＰ地址前綴通告路由可達(dá)信息時(shí)，該ＩＰ地址資源持有者使用其持有ＣＡ證書對(duì)應(yīng)的私鑰簽發(fā)一個(gè)ＥＥ證書，然后再用ＥＥ證書對(duì)應(yīng)的私鑰產(chǎn)生“路由源聲明”簽名項(xiàng)，ＥＥ證書中的ＩＰ地址前綴與“路由源聲明”所表征的ＩＰ地址前綴須完全一致。

全球范圍內(nèi)的ＩＰ地址分配管理體系決定了ＲＰＫＩ體系內(nèi)證書的驗(yàn)證路徑，ＩＰ地址分配管理體系中的地址分配者和地址申請(qǐng)者相應(yīng)地成為ＩＰ地址資源證書的頒發(fā)者和持有者。換言之，在ＩＰ地址分配樹中，上游節(jié)點(diǎn)既是其鄰接下游節(jié)點(diǎn)的資源分配者，也是其鄰接下游節(jié)點(diǎn)所持有資源證書的頒發(fā)者。

2.2ROA

ＲＯＡ，即路由源聲明，包含一個(gè)ＡＳ號(hào)同一個(gè)或多個(gè)ＩＰ地址前綴之間的“綁定關(guān)系”。其真實(shí)性由ＲＯＡ中ＩＰ地址前綴對(duì)應(yīng)的ＥＥ證書添加簽名加以保證。基于ＲＯＡ的設(shè)計(jì)，ＲＰＫＩ驗(yàn)證者（ＲｅｌｙｉｎｇＰａｒｔｙ，ＲＰ）通過驗(yàn)證ＲＯＡ來判斷一個(gè)ＡＳ是否被ＩＰ地址資源的持有者授權(quán)通告對(duì)應(yīng)ＩＰ地址前綴的路由信息。

當(dāng)需要授權(quán)某個(gè)ＡＳ對(duì)特定的ＩＰ地址前綴進(jìn)行路由通告時(shí)，該ＩＰ地址前綴的持有者產(chǎn)生ＲＯＡ，并通過ＲＰＫＩ資料庫(kù)加以存儲(chǔ)和發(fā)布，供ＲＰ下載和驗(yàn)證。為了撤銷的便利，ＩＰ地址資源持有者（ＣＡ）通常為每一個(gè)ＲＯＡ的產(chǎn)生獨(dú)立地頒發(fā)一個(gè)ＥＥ證書，也即

ＲＯＡ和ＥＥ證書具有一一對(duì)應(yīng)關(guān)系。這樣設(shè)計(jì)的好處是，通過撤銷ＥＥ證書就可以實(shí)現(xiàn)對(duì)ＲＯＡ的更新，而無需設(shè)計(jì)專門的ＲＯＡ撤銷機(jī)制。ＥＥ證書和ＲＯＡ的一一對(duì)應(yīng)關(guān)系決定了ＥＥ證書的公鑰僅用于產(chǎn)生一次

ＲＯＡ簽名項(xiàng)。ＲＯＡ簽名項(xiàng)一旦生成，ＥＥ證書對(duì)應(yīng)的私鑰即可銷毀，簡(jiǎn)化了密鑰管理。

2.3RPKI 資料庫(kù)

ＲＰＫＩ中所有證書以及簽名對(duì)象（例如ＲＯＡ）都在ＲＰＫＩ資料庫(kù)存儲(chǔ)并加以發(fā)布，由證書頒發(fā)者和簽名者負(fù)責(zé)相關(guān)數(shù)據(jù)的上載?；诜植际降模桑械刂贩峙涔芾眢w系，ＲＰＫＩ資料庫(kù)的部署相應(yīng)地采用了分布式系統(tǒng)，該系統(tǒng)使用目錄對(duì)數(shù)據(jù)進(jìn)行組織，并通過資源證書中的ＳＩＡ（ＳｕｂｊｅｃｔＩｎｆｏｒｍａｔｉｏｎＡｕｔｈｏｒｉｔｙ）和ＡＩＡ（Ａｕ－

·３１·

□TELECOMMUNICATIONS NETWORK TECHNOLOGY No.9NETWORK TECHNOLOGY

ｔｈｏｒｉｔｙＩｎｆｏｒｍａｔｉｏｎＡｕｔｈｏｒｉｔｙ）對(duì)相關(guān)數(shù)據(jù)的存取定位信息加以描述?？紤]到ＲＰ需要周期地下載相關(guān)證書和

ＲＰ功能組件的設(shè)計(jì)是ＲＰＫＩ在運(yùn)行實(shí)踐層面的關(guān)鍵環(huán)節(jié)，是ＲＰＫＩ證書體系和互聯(lián)網(wǎng)域間路由系統(tǒng)之間進(jìn)行交互的橋梁，圖２給出了ＢＢＮ公司設(shè)計(jì)的

ＲＰＫＩ簽名對(duì)象，ＲＰＫＩ資料的存取基于增量下載機(jī)制，使用一種稱為ｒｓｙｎｃ的協(xié)議完成ＲＰＫＩ資料同步。

ＲＰ功能組件的模塊圖，其中ＲＰ的ＵＲＩＣｈａｓｅｒ是一個(gè)非同步進(jìn)程，用以主動(dòng)尋找新頒發(fā)證書，ＣＲＬ以及

ＲＰＫＩ資料庫(kù)系統(tǒng)可能遭受多種形式的攻擊。例如，一個(gè)過期的簽名項(xiàng)（例如ＲＯＡ）可能會(huì)被用來替換當(dāng)前版本；一個(gè)有效的條目（例如ＣＡ證書）可能在驗(yàn)證者沒有察覺的情況下被攻擊者從ＲＰＫＩ資料庫(kù)中刪除從而導(dǎo)致證書路徑構(gòu)建的失敗。為保護(hù)ＲＰＫＩ資料庫(kù)的內(nèi)容完整性，ＲＰＫＩ設(shè)計(jì)了資料清單（Ｍａｎｉｆｅｓｔ），用于羅列ＲＰＫＩ資料庫(kù)中所有未過期的證書，ＣＲＬ以及ＲＯＡ等簽名項(xiàng)，并包含了這些文件的名稱以及文件內(nèi)容的哈希。ＲＰＫＩ資料清單的核心作用是幫助ＲＰ構(gòu)造ＲＰＫＩ數(shù)據(jù)的可信本地緩存。

ＲＯＡ發(fā)布點(diǎn)的模塊。相關(guān)簽名項(xiàng)經(jīng)過驗(yàn)證后在ＲＰ本地緩存，并通過ＲＴＲ協(xié)議提供給邊界路由器。

在ＲＰＫＩ體系中，證書和簽名對(duì)象的驗(yàn)證導(dǎo)致ＲＰ計(jì)算負(fù)擔(dān)最重，而本地緩存和信任錨點(diǎn)（ＴｒｕｓｔＡｎｃｈｏｒ）的維護(hù)則使得ＲＰ還承擔(dān)復(fù)雜的管理任務(wù)。盡管較大的運(yùn)營(yíng)商有能力在自己的網(wǎng)絡(luò)內(nèi)獨(dú)立地部署ＲＰ，但較小的企業(yè)或中?。桑樱锌赡苓€是傾向使用第三方提供的ＲＰ服務(wù)。隨著云計(jì)算模式日趨普遍，這種第三方的

ＲＰ服務(wù)或?qū)⒅饾u遷移到云端，使得ＲＰＫＩ業(yè)務(wù)作為互聯(lián)網(wǎng)公共服務(wù)的定位更加清晰。

2.4RPKI 運(yùn)行機(jī)制

在ＲＰＫＩ完全部署之后，相關(guān)證書的頒發(fā)行為不是獨(dú)立的事務(wù)，而是全球ＩＰ地址資源分配流程中的一個(gè)必需環(huán)節(jié)。每當(dāng)有ＩＰ地址資源分配事務(wù)發(fā)生，地址注冊(cè)機(jī)構(gòu)，ＩＳＰ等實(shí)體將相應(yīng)的證書，ＲＯＡ以及其它

3RPKI 技術(shù)的實(shí)踐與標(biāo)準(zhǔn)化

ＲＰＫＩ概念問世以來，得到了工業(yè)界的廣泛關(guān)注和

ＲＰＫＩ簽名項(xiàng)向ＲＰＫＩ資料庫(kù)上載，ＲＰ定期地下載這些簽名項(xiàng)，將驗(yàn)證之后的ＩＰ地址授權(quán)信息分發(fā)給相關(guān)的邊界路由器。當(dāng)有新的路由通告到達(dá)這些邊界路由器時(shí)，ＲＰ提供的ＩＰ地址授權(quán)信息就成為邊界路由器判斷路由通告是否可信的一個(gè)依據(jù)。圖１給出了ＲＰ－

研究。一方面，全球五大ＩＰ地址注冊(cè)機(jī)構(gòu)（ＲｅｇｉｏｎａｌＩｎ－

ｔｅｒｎｅｔＲｅｇｉｓｔｒｙ，ＲＩＲ）均已開展ＲＰＫＩ業(yè)務(wù)，向其會(huì)員開放了資源證書申請(qǐng)；另一方面，包括設(shè)備制造商（思科）、電信服務(wù)商（ＮＴＴ）、內(nèi)容提供商（Ｇｏｏｇｌｅ）以及技術(shù)提供服務(wù)商（ＢＢＮ，ＩＳＣ）等在內(nèi)的產(chǎn)業(yè)鏈各個(gè)實(shí)體也積極參與ＲＰＫＩ相關(guān)技術(shù)的研發(fā)，并與２００９年構(gòu)建了一

個(gè)面向全球的ＲＰＫＩ試驗(yàn)床。

基于實(shí)踐中發(fā)現(xiàn)的問題和總結(jié)的對(duì)策，以及互聯(lián)網(wǎng)社區(qū)的廣泛討論，２０１２年２月，

ＫＩ作模型的一個(gè)示例。

ＩＥＴＦ的ＳＩＤＲ工作組發(fā)布了１４個(gè)和ＲＰＫＩ相關(guān)的ＲＦＣ文檔（ＲＦＣ６４８０￣ＲＦＣ６４９３），涵蓋

ＲＰＫＩ的體系結(jié)構(gòu)、操作模型、密鑰算法、證書策略、運(yùn)行管理等支撐ＲＰＫＩ運(yùn)行的各個(gè)關(guān)鍵環(huán)節(jié)，標(biāo)志著ＲＰＫＩ在技術(shù)層面已經(jīng)基本成熟。在ＲＰＫＩ范疇，部分技術(shù)的標(biāo)準(zhǔn)化仍在進(jìn)行中，路由器獲取ＩＰ地址授權(quán)信息的ＲＴＲ協(xié)議和ＲＰＫＩ本地

圖1RPKI 運(yùn)行機(jī)制示例

·３２·

網(wǎng)絡(luò)技術(shù)《電信網(wǎng)技術(shù)》2012年9月第9期

信任錨點(diǎn)管理機(jī)制是其中將會(huì)對(duì)ＲＰＫＩ的運(yùn)行產(chǎn)生重要影響的標(biāo)準(zhǔn)化內(nèi)容。

繼ＤＮＳＳＥＣ之后，ＲＰＫＩ成為ＩＣＡＮＮ下一個(gè)重點(diǎn)推廣和部署的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施。ＩＣＡＮＮ制定的２０１１

年７月～２０１４年６月的階段性戰(zhàn)略計(jì)劃，多處提到要大力發(fā)展ＲＰＫＩ，并特別強(qiáng)調(diào)ＲＰＫＩ的部署是今后一段時(shí)間ＩＡＮＡ（ＩｎｔｅｒｎｅｔＡｓｓｉｇｎｅｄＮｕｍｂｅｒｓＡｕ－

ｔｈｏｒｉｔｙ）職能在互聯(lián)網(wǎng)安全范疇的重要體現(xiàn)。

ＲＰＫＩ在全球范圍內(nèi)的運(yùn)行將是一個(gè)復(fù)雜的系統(tǒng)工程，需要地址注冊(cè)機(jī)構(gòu)、設(shè)備制造商、服務(wù)提供商以及電信運(yùn)營(yíng)商等眾多角色的通力配合和專業(yè)管理，任何一個(gè)環(huán)節(jié)的差錯(cuò)都將對(duì)互聯(lián)網(wǎng)路由系統(tǒng)造成巨大影響。我國(guó)互聯(lián)網(wǎng)工業(yè)界應(yīng)重視起ＲＰＫＩ，充分調(diào)研，及早

圖2BBN 公司RPKI 驗(yàn)證代理功能組件

實(shí)踐，為ＲＰＫＩ今后的部署和運(yùn)行積累經(jīng)驗(yàn)。

ＩＰ地址轉(zhuǎn)移和跨級(jí)認(rèn)證也是近來ＳＩＤＲ工作組中討論的熱點(diǎn)。由于ＩＰｖ４地址趨于耗盡，ＩＰｖ４地址資源相對(duì)富余的持有者可能傾向?qū)⒉糠帜酥寥浚桑校觯吹刂废蚱渌脩暨M(jìn)行轉(zhuǎn)讓，ＩＰｖ４地址所有權(quán)的轉(zhuǎn)讓會(huì)對(duì)

參考文獻(xiàn)

１Ｒ．Ａｒｅｎｄｓ，Ｒ．Ａｕｓｔｅｉｎ，Ｍ．Ｌａｒｓｏｎ，Ｄ．ＭａｓｓｅｙａｎｄＳ．Ｒｏｓｅ．ＤＮＳＳｅｃｕｒｉｔｙＩｎｔｒｏｄｕｃｔｉｏｎａｎｄＲｅｑｕｉｒｅｍｅｎｔｓ．ＲＦＣ４０３３．２００５２Ｓ．Ｋｅｎｔ，Ｃ．Ｌｙｎｎ，Ｋ．Ｓｅｏ．Ｓｅｃｕｒｅｂｏｒｄｅｒｇａｔｅｗａｙｐｒｏｔｏｃｏｌ（Ｓ－ＢＧＰ）．ＩＥＥＥＪｏｕｒｎａｌｏｎＳｅｌｅｃｔｅｄＡｒｅａｓｉｎＣｏｍｍｕｎｉｃａｔｉｏｎｓ．２０００，１８（４）：５８２－５９２

３Ｒ．Ｗｈｉｔｅ．ＳｅｃｕｒｉｎｇＢＧＰｔｈｒｏｕｇｈｓｅｃｕｒｅｏｒｉｇｉｎＢＧＰ（ＳｏＢＧＰ）．ＴｈｅＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＪｏｕｒｎａｌ，２００３，６（３）：１５－２２

４Ｍ．Ｌｅｐｉｎｓｋｉ，Ｓ．Ｋｅｎｔ．ＡｎＩｎｆｒａｓｔｒｕｃｔｕｒｅｔｏＳｕｐｐｏｒｔＳｅｃｕｒｅＩｎｔｅｒｎｅｔＲｏｕｔｉｎｇ．ＲＦＣ６４８０．２，２０１２

５Ｍ．Ｌｅｐｉｎｓｋｉ，Ｓ．Ｋｅｎｔ，Ｄ．Ｋｏｎｇ．ＡＰｒｏｆｉｌｅｆｏｒＲｏｕｔｅＯｒｉｇｉｎＡｕｔｈｏｒｉｚａｔｉｏｎｓ（ＲＯＡｓ）．ＲＦＣ６４８２．２，２０１２

６Ｇ．Ｈｕｓｔｏｎ，Ｒ．Ｌｏｏｍａｎｓ，Ｇ．Ｍｉｃｈａｅｌｓｏｎ．ＡＰｒｏｆｉｌｅｆｏｒＲｅｓｏ－ｕｒｃｅＣｅｒｔｉｆｉｃａｔｅＲｅｐｏｓｉｔｏｒｙＳｔｒｕｃｔｕｒｅ．ＲＦＣ６４８１．２，２０１２７Ｃ．Ｌｙｎｎ，Ｓ．Ｋｅｎｔ，Ｋ．Ｓｅｏ．Ｘ．５０９ＥｘｔｅｎｓｉｏｎｓｆｏｒＩＰＡｄｄｒｅｓｓｅｓａｎｄＡＳＩｄｅｎｔｉｆｉｅｒｓ．ＲＦＣ３７７９．Ｊ６，２００４

８Ｓ．Ｗｅｉｌｅｒ，Ｄ．Ｗａｒｄ，Ｒ．Ｈｏｕｓｌｅｙ．ＴｈｅｒｓｙｎｃＵＲＩＳｃｈｅｍｅ．ＲＦＣ５７８１．２，２０１０

９Ｒ．Ａｕｓｔｅｉｎ，Ｇ．Ｈｕｓｔｏｎ，Ｓ．Ｋｅｎｔ，Ｍ．Ｌｅｐｉｎｓｋｉ．ＭａｎｉｆｅｓｔｓｆｏｒｔｈｅＲｅｓｏｕｒｃｅＰｕｂｌｉｃＫｅｙＩｎｆｒａｓｔｒｕｃｔｕｒｅ（ＲＰＫＩ）．ＲＦＣ６４８６．

（收稿日期：2012-08-14）２，２０１２

ＲＰＫＩ的證書管理和以及路由信息的驗(yàn)證造成影響，需要在ＲＰＫＩ的技術(shù)和運(yùn)行層面加以考量；至于跨域認(rèn)證，則是指由于管理和運(yùn)營(yíng)上的需求，ＩＰ地址分配體系中的某個(gè)節(jié)點(diǎn)期望繞過其父節(jié)點(diǎn)，而直接向更上游的節(jié)點(diǎn)申請(qǐng)ＲＰＫＩ證書服務(wù)，同樣需要ＳＩＤＲ工作組妥善處理，并考慮是否對(duì)ＲＰＫＩ進(jìn)行調(diào)整。

4結(jié)束語

作為面向域間路由安全的互聯(lián)網(wǎng)基礎(chǔ)設(shè)施，在

ＩＰｖ６時(shí)代，ＲＰＫＩ有望同ＤＮＳＳＥＣ一道，為互聯(lián)網(wǎng)的安全運(yùn)行構(gòu)筑一個(gè)可信的基礎(chǔ)資源管理體系?；冢遥校?/p>

ＫＩ所構(gòu)建的可信ＩＰ地址資源認(rèn)證體系，一個(gè)稱為ＢＧＰＳＥＣ的協(xié)議正在ＩＥＴＦ進(jìn)行系統(tǒng)地標(biāo)準(zhǔn)化工作，旨在彌補(bǔ)傳統(tǒng)ＢＧＰ在安全范疇的不足，以全面構(gòu)建安全的域間路由系統(tǒng)。

·３３·