互联网路由基础设施（BGP协议）在设计之初未内置安全机制，依赖全局信任宣告，天然面临路由劫持与路由泄露风险。RPKI（资源公钥基础设施）基于X.509证书体系，通过ROA（路由源授权）等机制为BGP路由宣告提供"身份核验"能力，是弥补互联网路由层安全空白的核心方案。本课题围绕BGP路由劫持检测与防御、RPKI部署测量与效能评估、ROA数据质量分析、RPKI基础设施弹性、ASPA路径验证演进、路由安全态势感知六大方向展开研究，构建"监测—验证—处置—协同"的路由安全研究体系。
BGP是互联网自治系统间交换路由信息的核心协议，其设计基于"全局信任"假设——每个AS宣告的路由信息都被默认视为合法。然而，路由劫持、路由泄露等安全事件频发，凸显了路由层安全防护的迫切性。
截至2026年，全球BGP路由表中可见的自治系统（AS）约8万个，IPv4全局路由表条目已于2025年11月突破100万条（bgp.potaroo.net周度报告统计为1,012,261条）。BGP协议自2006年RFC 4271发布以来从未内置原生安全机制，所有路由验证均依赖上游AS的自觉过滤。RPKI通过建立基于X.509证书的路由起源认证体系，为BGP路由宣告提供密码学可验证的"来源合法性"证明，是弥补互联网路由层安全空白的基石方案。
RPKI研究体系经历了从"路由起源验证"（ROA，RFC 6480-6483系列2012年发布，其中ROA格式现行标准为RFC 9582，已废止RFC 6482）到"路由到路由器通信"（RTR，RFC 6810/RFC 8210）的完整标准化进程；IETF SIDROPS工作组持续推进ASPA（自治系统提供商授权，核心规范为draft-ietf-sidrops-aspa-profile与draft-ietf-sidrops-aspa-verification，截至2026年中尚处于标准草案阶段、未分配RFC编号）以实现AS_PATH属性验证，弥补RPKI仅能验证路由起源的不足；BGPsec（RFC 8205）则试图为BGP更新添加密码学签名以实现完整AS路径验证，但部署进展缓慢。
网络钓鱼的最终落地依赖流量到达攻击者控制的服务器。BGP路由劫持可直接将用户流量重定向至钓鱼站点——这是一种"底层通道型"钓鱼辅助攻击，传统应用层钓鱼防范手段（域名检测、邮件过滤）对此完全无效。2018年4月MyEtherWallet事件中，攻击者通过劫持亚马逊Route53相关前缀将用户DNS查询引导至钓鱼服务器，盗取约15万美元以太币；2024年6月Cloudflare 1.1.1.1 DNS解析器因BGP劫持和路由泄露导致70个国家/地区300多个网络无法访问的事件，进一步证明了路由层安全防护的紧迫性。
MANRS（路由安全相互协议规范）由ISOC于2014年发起，定义了过滤、反欺骗、运营协作、路由信息验证四项核心行动。独立测量研究（"Mind Your MANRS"，ACM IMC 2022）显示：截至2022年5月，超过83%的MANRS成员网络符合路由过滤要求，超过95%符合路由信息便利化要求。CNNIC作为APNIC框架下的国家互联网注册管理机构（NIR），运营rpki.cnnic.cn资源认证体系，在RPKI信任锚体系中扮演关键角色；2025年以来，中国电信、中国联通等国内骨干网前缀已陆续完成ROA签署。
以下指标均来自NIST RPKI Monitor、RPKIViews、Kentik、NDSS 2026论文等公开权威来源，口径与出处已在各卡片标注。由于测量口径（地址空间/路由前缀/流量）不同，数值间存在差异属正常现象。
2025年7月，全球BGP宣告的IPv4前缀约58%被ROA覆盖，IPv6前缀约63%。按地址空间口径，RIPE区域2026年初IPv4约76%、IPv6约44%。
约28.9%的自治系统已部署路由起源验证（ROV），对RPKI Invalid路由执行过滤——"签署侧"与"验证侧"的部署差距是路由安全的主要短板。
流量口径覆盖率显著高于路由条数口径——大型高流量网络更积极地签署ROA并执行ROV，头部效应明显（Kentik估计2026年约74%）。
2025年11月，IPv4全局BGP路由表条目突破100万条（统计为1,012,261条），较RIPE Labs 2020年预测的"百万条目日"时间点基本吻合。
截至2024年5月，全球除一家外所有免结算（transit-free）顶级运营商已在BGP入口策略中丢弃RPKI Invalid路由，Invalid宣告的传播范围被压缩约1/2至2/3。
2025年末全球有效ROA达344,209个（同比+23%），覆盖52,661个起源AS、约27.8亿个IPv4地址；ASPA对象556个（覆盖约0.5%的AS，同比激增）。
从1990年代安全BGP方案的理论探索，到2012年RPKI核心RFC系列落地，再到ASPA开启路径验证时代——以下时间轴关键节点均可在IETF、RIPE NCC、MANRS、Kentik等公开记录中查证。
S-BGP（BBN，Murphy/Badger等）、soBGP等基于密码学的安全路由方案相继提出；1997年AS7007路由事故（MAI网络配置错误污染全球路由表）暴露了BGP的信任模型缺陷，推动学界系统研究路由安全问题（Butler等《A Survey of BGP Security Issues and Solutions》，Proceedings of the IEEE 2010）。
IETF于2008年4月成立Secure Inter-Domain Routing（SIDR）工作组，RPKI从理论走向标准化；2008年2月巴基斯坦电信（AS17557）劫持YouTube全球流量数小时，成为最具标志性的BGP劫持事件之一。
2011年初，五大RIR全部启动RPKI生产部署（RIPE NCC资源认证系统于2011年初上线，APNIC、LACNIC、AFRINIC、ARIN相继跟进，ARIN信任锚2012年9月启用）——这是RPKI从技术验证转向全球基础设施的关键节点（Chung等《RPKI is Coming of Age》，ACM IMC 2019）。
2012年2月，RFC 6480-6492系列集中发布，确立RPKI框架、证书Profile、ROA对象、Manifest、Ghostbusters等完整技术栈；RPKI由此成为"弥补互联网路由层安全空白的基石方案"。
RFC 6810（RPKI-to-Router协议）、RFC 6811（BGP Prefix Origin Validation）发布，打通"RPKI数据→路由器决策"的最后一公里，ROV（路由起源验证）具备可部署的协议基础。
ISOC于2014年发起MANRS路由安全倡议；CERNET作为发起者之一加入（2014年），并部署RPKI（当前IPv6路由ROA签署率达84%，依托SAVA技术实现反源地址欺诈）。2016年6月RFC 7908发布，系统定义BGP路由泄露问题并给出五类分类学。
RFC 8205（BGPsec，2017）定义AS路径签名机制但部署缓慢；RFC 8210更新RTR协议。2018年Cloudflare成为全球首批在生产环境全面启用ROV的大型网络之一；2019年2月AT&T（AS7018）开始对peer方向丢弃RPKI Invalid路由，大型运营商时代开启。
Google、Amazon等大型网络相继启用ROV；MANRS持续推动全球采纳；全球ROA发布量在2022年出现显著跃升（RPKIViews统计：2024年ROA总数同比+49%）。
2022年2月RFC 9319（BCP 185，maxLength使用最佳实践）、RFC 9323（RSC）、RFC 9324（无路由刷新策略）发布；2022年12月17日，AS945创建全球首个ASPA对象（授权AS1299、AS6939、AS32097、AS50058为其合法上游），2023年2月MANRS复盘了首起被ASPA阻止的路由泄露。
2024年5月RFC 9582发布（废止RFC 6482，ROA格式现行标准）；Kentik/MANRS确认：2024年5月全球IPv4路由表中超过50%的路由首次获得有效ROA覆盖（IPv6已于2023年末跨过50%），同期Kentik NetFlow显示70.3%的互联网流量流向RPKI-Valid路由。6月27日发生Cloudflare 1.1.1.1 BGP劫持+路由泄露事件，成为RPKI防御价值的标志性案例。
2025年11月IPv4全局路由表突破100万条；2025年末全球ROA达344,209个。2025年12月15日RIPE NCC在托管RPKI面板上线ASPA生产功能，2026年1月ARIN跟进，APNIC已提供生产发布，LACNIC/AFRINIC承诺2026年底前支持；ASPA核心草案（profile+verification）于2026年中进入工作组最后征求意见（WGLC）阶段，尚未分配RFC编号。2025年以来，中国电信、中国联通等国内骨干网前缀在CNNIC/APNIC体系推动下陆续完成ROA签署。
每个子课题均基于真实RFC标准、公开权威数据与学术文献，形成可独立拓展的深度研究单元。点击卡片展开研究框架，可"进入课题详情页"深入阅读，或"收起卡片"收回。
研究BGP路由劫持与路由泄露的检测方法、影响评估与溯源技术，覆盖基于BGPStream等公开数据的劫持事件采集、劫持/泄露事件分类与影响范围量化、劫持源AS识别与归因分析、典型事件深度复盘（如Cloudflare 1.1.1.1劫持事件）四大方向，建立BGP路由安全事件的监测—分析—通报能力。
对全球及区域RPKI部署现状进行系统性测量与评估，覆盖ROA签署率统计（地址空间/路由前缀/流量多口径）、RTR协议部署情况、路由器ROV启用率、各RIR平台差异对比、部署趋势预测等方向，形成RPKI部署态势的量化画像。
研究RPKI存储库中ROA对象的数据质量问题，覆盖ROA配置错误模式（如前缀/长度不匹配、过期未更新）、ROA数据一致性校验、ROA与真实路由宣告的偏差分析、错误ROA对路由安全的影响评估等方向，提升RPKI数据可用性。
研究RPKI信任锚体系的集中化风险、存储库（Publication Point）单点故障、证书撤销机制（CRL/Manifest）可靠性等基础设施弹性问题，覆盖信任锚集中化分析、发布点安全威胁、RPKI自身安全防护等方向。
研究ASPA（自治系统提供商授权）机制的技术原理与部署实践，覆盖ASPA对象结构与验证流程、AS_PATH属性验证、ROA起源验证与ASPA路径验证的协同、BGPsec（RFC 8205）演进路线对比等方向，探索从"起源验证"到"路径验证"的技术演进。
面向互联网路由安全构建态势感知体系，输出BGP安全态势指标、RPKI部署态势报告、路由安全威胁情报等产品，形成"监测—研判—通报—协同处置"的路由安全治理闭环。
基于X.509证书（RFC 3779资源扩展）的资源公钥基础设施，通过CA证书、终端实体证书、ROA对象（RFC 9582，废止6482）、Manifest（RFC 9286，废止6486）等密码学对象构建路由起源的可验证信任链。
路由器基于本地RPKI验证结果（经RTR协议从验证器同步）对BGP路由宣告进行起源验证，标记Valid/Invalid/NotFound三态（RFC 6811/8481），支持Invalid路由丢弃策略以自动拦截劫持路由；2024年5月起全球除一家外所有transit-free运营商均已执行。
ASPA对象允许AS声明其合法上游提供商，验证AS_PATH属性中每一跳的提供商授权关系，弥补ROA仅能验证路由起源的不足，实现"源端验证+路径验证"双重防护；2023年2月MANRS复盘了首起被ASPA阻止的路由泄露。
基于RouteViews、RIS（RIPE NCC路由信息服务）、BGPStream等全球路由收集平台，持续采集MRT格式路由更新数据，构建BGP路由安全事件的分析数据底座。
按RFC 7908五类模型对路由泄露进行标准化分类与检测；OTC（Only to Customer，RFC 9234）通过AS_PATH中的"仅上邻发送"标记，让下游AS能够识别并拒绝本应仅在提供商链路内传播的路由，是泄露防御的重要补充机制。
开源验证器是RPKI落地的关键依赖：NLnet Labs Routinator（Rust）、rpki-client（OpenBSD/RIPE NCC）、FORT（NIC.br）、Cloudflare gortr等持续维护；RIPE NCC RPKI Validator 3已于2021年7月停止维护，迁移至Routinator/rpki-client成为主流选择。
由ISOC于2014年发起的全球路由安全倡议，定义过滤、反欺骗、运营协作、路由信息验证四项核心行动。独立测量显示：截至2022年5月，超83%成员符合路由过滤要求，超95%符合路由信息便利化要求。
将BGP劫持/泄露检测、RPKI部署评估等分析结果转化为STIX/TAXII格式的标准化威胁情报，支撑成员单位自动化消费与联动处置，国内对标GB/T 36643-2018。
汇聚RouteViews/RIS路由更新数据、BGPStream事件数据、各RIR RPKI存储库数据与MANRS成员数据，建立统一的路由安全数据采集管道。
对多源路由数据进行解析、去重、实体对齐与质量评估，构建BGP路由知识图谱与RPKI对象关联分析底座。
基于路由劫持检测算法、ROA质量校验模型与RPKI部署测量工具，发现路由安全异常与RPKI部署短板。
将分析结果转化为分级分类的路由安全态势报告与威胁情报，推送至成员单位与协同处置平台。
汇总监测与处置数据，输出路由安全年度报告与趋势研判，反哺RPKI部署策略优化。
路由安全研究依赖多源异构数据——从全球BGP路由表快照到RPKI存储库对象，从路由收集平台到安全倡议公开数据。理解各类数据的结构、获取方式与适用场景，是开展路由安全研究的基础。
| 数据类型 | 说明 | 路由安全用途 |
|---|---|---|
| MRT路由表快照 | BGP路由表的二进制快照格式，包含全局路由表（RIB）和更新日志（Updates） | 路由表分析、劫持检测基线、路由泄露追踪 |
| BGP更新报文RFC 4271 | BGP协议路由宣告/撤销/路径变更的实时事件流 | 劫持事件实时检测、路由震荡分析 |
| RPKI存储库对象RFC 6480-6492 / 9582 / 9286 | ROA（RFC 9582）、Manifest（RFC 9286）、证书等RPKI密码学对象，存储于RIR运营的存储库中 | 路由起源验证（ROV）、ROA质量分析 |
| RTR协议数据RFC 6810/8210 | RPKI到路由器的通信协议数据，用于将RPKI验证结果分发至路由器 | RTR部署测量、验证效率评估 |
| BGPStream数据 | Routing Security Group维护的BGP安全事件公开数据平台 | 劫持/泄露事件采集与统计 |
| RouteViews/RIS数据 | 全球分布式路由收集平台，RouteViews（多地点）与RIS（RIPE NCC运营）提供全路由表快照 | 全局路由视图构建、劫持影响面评估 |
| MANRS成员数据 | MANRS倡议参与者的路由安全实践公开数据（MANRS Observatory） | 路由安全最佳实践对标、部署趋势分析 |
RPKI路由安全建立在IETF标准化体系之上。核心RFC 6480-6492系列（2012年）定义了密码学基础设施与路由验证的完整技术栈，2022-2024年间RFC 9286/9319/9324/9582等新标对早期规范进行了重要修订与废止更新；ASPA尚处草案阶段，BGPsec（RFC 8205）则代表了完整路径验证的演进方向。
2012年2月发布，定义RPKI基础设施的完整技术栈：RFC 6480（框架）、6481（存储库结构）、6482（ROA，已被RFC 9582废止）、6483（起源验证）、6484（CP）、6485（算法，已被RFC 7935废止）、6486（Manifest，已被RFC 9286废止）、6487（证书Profile）、6488（签名对象模板）、6489（密钥轮换）、6490（TAL）、6491（IANA签发对象）、6492（供应协议）、6493（Ghostbusters）。
BGP前缀起源验证（6811）确立Valid/Invalid/NotFound三态决策模型；8481澄清起源验证规则（后经RFC 8360重新审议）；8893定义出站侧起源验证；9324（2022年12月）要求ASPA等新对象沿用无路由刷新的策略更新机制，避免控制面冲击。
RPKI到路由器的通信协议，定义RPKI验证结果从验证器到路由器的高效分发机制。RFC 8210是对RFC 6810的更新，是当前RTR协议的现行标准（后续8210bis修订仍在推进中），是路由器执行ROV的数据通道。
2024年5月发布，废止RFC 6482成为ROA格式现行标准：强化IP地址/AS标识符的X.509扩展要求、加强ASN.1形式化定义、整合勘误并规定ipAddrBlocks规范化流程。配套RFC 9455建议避免在单个ROA中承载多个前缀，简化验证与撤销管理。
2022年2月发布：明确"运营商应尽可能使用最小化ROA——仅包含AS在BGP中实际起源的前缀"，并"应避免使用maxLength属性"——过宽的maxLength会授权攻击者发起仍属Valid的更具体前缀劫持，是ROA配置的头号安全陷阱。
ASPA对象格式（draft-ietf-sidrops-aspa-profile）与AS_PATH验证算法（draft-ietf-sidrops-aspa-verification）截至2026年中处于WGLC阶段、尚无RFC编号；注意"RFC 8970=ASPA"系误传（RFC 8970实为IMAP4扩展）。OTC属性（RFC 9234，2022年5月）是ASPA防泄露生效的关键前提。
BGPsec协议规范（2017年9月，配套8206/8207、算法7935、签名8608），为BGP更新添加密码学签名以实现完整AS路径验证。相比RPKI仅验证起源，BGPsec验证AS_PATH每一跳，但全球部署进展缓慢——业界普遍认为ASPA是更务实的中间路径。
2016年6月发布，系统定义BGP路由泄露问题、给出泄露事件五类分类学（Type 1-Type 5）与检测原则，是泄露检测工具（如leak detection系统）与MANRS最佳实践的理论基础。
ISOC于2014年发起，定义过滤、反欺骗、运营协作、路由信息验证四项核心行动。独立测量（IMC 2022）显示：截至2022年5月，超83%成员符合路由过滤要求，超95%符合路由信息便利化要求。
RPKI运营风险配套标准：RFC 8211（CA/存储库管理者潜在恶意行为与依赖方应对）、8360（RPKI验证规则重新审议）、8416（SLURM本地过滤器，便于灰度与例外管理）、8630（TAL分发规范）。这些文档是RPKI安全运营与审计的依据。
以下事件均来自公开权威记录（运营商事后报告、权威机构分析与主流安全媒体报道），覆盖起源劫持、子前缀劫持、路由泄露、劫持+钓鱼组合攻击等典型模式，是检测算法验证与防御效果评估的基线案例库。
| 时间 | 事件 | 类型 | 关键事实与影响 |
|---|---|---|---|
| 1997.4 | AS7007路由事故 | 配置事故 | MAI网络（AS7007）配置错误导致其宣告的大量路由在全球路由表中持续约数小时，污染全网路由——该事件直接催生了对安全BGP（S-BGP等）的系统研究（CAIDA《Wow, AS7007!》事后分析）。 |
| 2008.2 | 巴基斯坦电信劫持YouTube | 起源劫持 | 巴基斯坦电信（AS17557）为执行国内屏蔽令宣告YouTube前缀（208.65.153.0/24），因路由传播优先级更高导致YouTube全球流量被劫持约2小时——"政府指令型劫持"的标志性案例。 |
| 2010.4.8 | 中国电信AS23724事件 | 起源劫持（疑似配置事故） | 中国电信（AS23724）短暂宣告约3.7万个非自有前缀，持续约15-18分钟；美国美中经济与安全审议委员会年度报告称其影响"约15%的互联网目的地"，波及部分.gov/.mil站点流量路径。 |
| 2014.4 | Indosat大规模劫持 | 起源劫持 | 印尼Indosat（AS4761）异常宣告数十万条不属于其的前缀，波及全球大量网络数小时，是史上规模最大的劫持事件之一。 |
| 2015.6 | Telekom Malaysia泄露事件 | 路由泄露 | 马来西亚电信（AS4788）违规传播大量路由，全球多家Tier-1网络（含Level 3等）受影响——推动业界对泄露过滤（RFC 7908模型）的重视。 |
| 2017.12 | 流量异常路由至俄罗斯 | 路径操纵（疑似劫持） | 媒体报道谷歌、苹果、Facebook、微软等流量被异常路由至俄罗斯运营商网络，持续数小时——"AS-in-the-middle"路径操纵型攻击的代表案例（ROV无法防御此类攻击，凸显ASPA价值）。 |
| 2018.4 | MyEtherWallet劫持+钓鱼 | 子前缀劫持+DNS钓鱼 | 攻击者劫持亚马逊Route53相关前缀（含DNS服务网段），将MyEtherWallet用户引导至钓鱼站点并伪造TLS证书，盗取约15万美元以太币——"BGP劫持→应用层钓鱼"组合攻击的教科书案例。 |
| 2018.11 | MainOne泄露亚马逊DNS前缀 | 路由泄露 | 尼日利亚MainOne（AS37282）将亚马逊（AS16509）DNS前缀泄露给上游，持续约2小时，影响部分亚马逊服务可用性。 |
| 2020.4.1 | Rostelecom大规模宣告 | 起源劫持（疑似配置事故） | 俄罗斯Rostelecom（AS12389）宣告8000余个不属于其的前缀（含谷歌、Facebook、亚马逊等）；因Telia、NTT等已启用RPKI ROV，受影响路由被自动过滤——ROV防御价值的经典实证。 |
| 2021.4 | Vodafone Idea泄露事件 | 路由泄露 | 印度Vodafone Idea（AS55410）泄露3万余条前缀（含谷歌、微软、Akamai、Cloudflare等），事件凸显了Tier-1层面入口过滤缺失的连锁影响。 |
| 2022.2 | KLAYswap加密货币劫持 | 劫持+伪造证书 | 韩国加密货币平台KLAYswap相关前缀遭劫持，攻击者配合伪造TLS证书实施中间人攻击，损失约190万美元——劫持与加密资产钓鱼结合的高价值攻击。 |
| 2024.6.27 | Cloudflare 1.1.1.1事件 | 起源劫持+路由泄露 | ELETRONET（AS267613）宣告1.1.1.1/32，Nova Rede（AS262504）将1.1.1.0/24泄露给未过滤的AS1031；某Tier-1误将/32视为RTBH并黑洞流量。影响70个国家/地区300多个网络；Cloudflare因自身部署RPKI自动拒绝Invalid路由，内部服务未受影响。 |
依托CNNIC国家互联网基础资源管理体系与公共互联网反网络钓鱼工作组的资源优势，将RPKI路由安全方法体系应用于钓鱼治理核心场景，是本课题区别于一般路由安全研究的主要特色。
攻击者通过BGP劫持将用户流量重定向至钓鱼服务器是一种"底层通道型"攻击，传统应用层防御（域名检测、URL过滤）对此无效——2018年MyEtherWallet事件（劫持+伪造证书盗取约15万美元）即为例证。通过部署RPKI ROV，路由器可自动标记并丢弃Invalid路由（未经授权的IP前缀宣告），在路由层阻断钓鱼流量通道；2020年Rostelecom事件中，Telia、NTT等启用ROV的网络自动过滤了受影响路由，未启用者则中招——实证了"前置拦截"的实际价值。
钓鱼基础设施的IP地址通过BGP宣告接入互联网。通过分析BGP路由表中的前缀宣告来源、AS_PATH路径与RPKI ROA授权数据的交叉比对，可快速定位钓鱼服务器的路由起源AS，结合RDAP/WHOIS注册数据溯源运营主体，将"IP级处置"升级为"AS级溯源"；对伪造RPKI状态（宣告他人ROA未覆盖前缀）的钓鱼基础设施，可建立"无ROA保护的新宣告前缀"高危画像。
依托CNNIC作为APNIC框架下国家互联网注册管理机构（NIR）的角色（运营rpki.cnnic.cn资源认证体系），为中国境内AS提供RPKI证书签发与ROA管理支持；CERNET已部署RPKI（IPv6路由ROA签署率84%）并作为MANRS发起者之一参与全球治理；2025年以来，中国电信、中国联通等骨干网前缀已在该体系推动下陆续完成ROA签署，"国家NIR—AS运营者—安全厂商"的协同防护链路正在成形。
跟踪RPKI与BGP安全领域的协议演进、部署实践与安全事件，以下事件均来自IETF、RIPE NCC、ARIN、MANRS、Kentik、Cloudflare等权威机构的公开记录。
2024年6月27日18:51 UTC，Eletronet S.A.（AS267613）开始宣告1.1.1.1/32前缀（BGP劫持），一分钟内Nova Rede（AS262504）将该前缀不当泄露给未做前缀过滤的AS1031并进一步传播（路由泄露）；某Tier-1运营商误将/32公告视为RTBH黑洞路由并阻断相关流量。事件导致70个国家/地区300多个网络无法访问Cloudflare的1.1.1.1 DNS解析器，次日凌晨02:28 UTC泄露方完成修复。Cloudflare在事件报告中指出，其自身已部署RPKI ROV，能够自动拒绝Invalid路由，内部服务未受影响——该事件成为RPKI防御价值的标志性案例，也暴露了"主机路由（/32）处理歧义""Tier-1入口过滤缺位"等遗留问题。
IETF SIDROPS工作组的ASPA核心规范（aspa-profile与aspa-verification草案）于2026年中进入工作组最后征求意见（WGLC）阶段，尚未分配RFC编号。RIR侧进展迅速：RIPE NCC于2025年12月15日在托管RPKI面板上线ASPA生产功能，ARIN于2026年1月跟进，APNIC已提供生产发布，LACNIC与AFRINIC承诺2026年底前支持。实测里程碑：2022年12月AS945创建全球首个ASPA对象；2023年2月MANRS复盘了首起被ASPA阻止的路由泄露。但RPKIViews统计2025年末ASPA对象仅556个（覆盖约0.5%的AS），大规模采纳仍需时日。
多口径数据印证RPKI规模化拐点：2024年5月全球IPv4路由表中超过50%的路由首次获得有效ROA覆盖（IPv6于2023年末过半）；Kentik NetFlow显示70.3%的互联网流量流向RPKI-Valid路由；同期除一家外全球所有transit-free顶级运营商均已拒绝RPKI Invalid路由。按路由前缀口径，2025年7月BGP宣告的IPv4前缀约58%被ROA覆盖（IPv6约63%，NDSS 2026论文）；按地址空间口径，RIPE区域2026年初IPv4约76%、IPv6约44%。验证侧仍是短板：约28.9%的AS执行ROV——"签署侧"与"验证侧"的剪刀差是下一阶段治理重点。
2025年11月，IPv4全局BGP路由表条目达到1,012,261条（bgp.potaroo.net周度报告），正式突破100万大关——较RIPE Labs 2020年基于增长趋势预测的"百万条目日"基本吻合。路由表膨胀对路由器内存/收敛性能、前缀过滤策略提出持续挑战，也使"基于RPKI验证结果的精细化路由策略"（而非简单的全量接受）更具现实意义。
CNNIC作为APNIC框架下的NIR运营rpki.cnnic.cn资源认证体系，是中国RPKI部署的枢纽节点。CERNET（中国教育和科研计算机网）自2014年作为发起者之一加入MANRS，已部署RPKI——IPv6路由ROA签署率达84%（截至2026年8月公开报道），并依托SAVA技术实现反源地址欺诈、开展路由劫持监测与可视化。2025年以来，中国电信（如AS4811相关网段）、中国联通（AS4837相关网段）等骨干网前缀已陆续完成ROA签署，国内从极低覆盖向大规模覆盖跨越的态势明显，但ROV执行侧普及仍需持续推动。
IETF SIDR/SIDROPS工作组完成的BGPsec协议规范（RFC 8205及配套8206/8207、7935、8608）旨在为BGP更新添加密码学签名以实现完整AS路径验证，可弥补RPKI仅验证起源的不足。然而由于逐跳签名开销大、要求路径上全部AS协同部署、向后兼容性挑战大，BGPsec全球实际部署进展缓慢。业界逐渐形成共识：ASPA作为基于授权声明的轻量路径验证机制，是通往完整路径验证的务实过渡方案——RIPE NCC的评估亦指出ASPA相比BGPsec更易部署、资源开销更小。
由ISOC于2014年发起的MANRS（路由安全相互协议规范）定义了过滤、反欺骗、运营协作、路由信息验证四项核心行动。独立测量研究（Du等《Mind Your MANRS》，ACM IMC 2022）显示：截至2022年5月，超过83%的MANRS成员网络符合路由过滤要求（根据权威记录丢弃包含无效信息的路由），超过95%符合路由信息便利化要求（在权威数据库中注册其资源）；2022年11月复测显示95.9%的成员符合行动4要求。MANRS成员规模2023年初已近900个，且成员网络对RPKI Invalid宣告的过滤效果显著优于非成员网络——MANRS已成为全球路由安全协同治理的最重要行业倡议。
2022年2月RFC 9319（BCP 185）确立"最小化ROA、避免maxLength"最佳实践；RFC 9323引入RSC（路由服务器配置签名对象）；RFC 9324规范无路由刷新策略。2024年5月RFC 9582发布，废止RFC 6482成为ROA现行标准；RFC 9286（2022）废止RFC 6486更新Manifest机制；RFC 7935替代RFC 6485的算法与密钥要求。标准的持续焕新表明RPKI已从"能用"走向"好用、安全、可运维"的成熟阶段。
NDSS 2026论文《Underlying Infrastructure Threats to RPKI Publication Points》首次系统测量了RPKI发布点的底层基础设施脆弱性：域名过期接管、DNS欺骗可劫持RRDP通道；在恶意服务器最坏场景下，若无rsync回退，IPv4 ROA覆盖率将从约100%暴跌至14.6%，启用rsync回退也只能恢复到约49.3%。研究建议五大RIR发布点迁移至更安全的托管基础设施、强制加密同步——RPKI自身的安全加固已成为与部署推广同等重要的研究议程。
从"了解BGP安全风险"到"部署RPKI实现路由起源验证"，组织需要完成技术评估、证书管理、路由器配置、持续监测四个层面。以下六步路径综合IETF标准（RFC 9319最佳实践）、RIR实践指南与MANRS行动要求整理，供规划参考。
梳理组织拥有的IP前缀与AS号，分析当前BGP宣告策略与路由安全现状。通过bgp.tools、NIST RPKI Monitor、RIPEstat等公开工具检查已有RPKI对象状态（Valid/Invalid/NotFound），评估RPKI部署就绪度，识别需要保护的IP前缀清单。
通过所属RIR（中国境内组织经CNNIC在APNIC框架下办理，CNNIC运营rpki.cnnic.cn资源认证体系）申请资源证书，签发ROA声明合法的路由起源。遵循RFC 9319（BCP 185）：使用最小化ROA——仅包含实际宣告的前缀，避免设置过宽的maxLength；创建后必须经外部工具（bgp.tools、NIST RPKI Monitor等）验证全球传播，而非仅依赖RIR门户自身确认。
部署RPKI验证器（Routinator、rpki-client等，建议多验证器冗余），在边缘路由器上启用RTR客户端同步验证结果，配置ROV策略：Invalid路由标记并丢弃（RFC 6811/8481），NotFound保持默认策略。可用SLURM（RFC 8416）定义本地例外，实现灰度上线。
部署BGP路由监测（基于BGPStream、RouteViews数据），持续监测路由劫持与泄露事件；监控ROA状态（是否过期、是否与实际宣告一致）——宣告策略变更时同步更新ROA；跟踪RIR平台通知，避免证书过期导致路由状态降级。
加入MANRS倡议并履行四项核心行动（路由过滤、反欺骗、运营协作、信息注册），通过RIR平台公开路由资源信息，维护有效的安全联络渠道（MANRS行动3）。与CNNIC、反钓鱼工作组等机构建立路由安全事件通报与协同处置机制。
在ROA部署成熟后，评估ASPA部署：RIPE NCC（2025年12月起）、ARIN（2026年1月起）、APNIC已提供生产发布，中国境内组织可经CNNIC渠道关注APNIC侧进展。配置路由器进行AS_PATH验证前，确认OTC（RFC 9234）标记策略已就位；逐步构建"源端验证（ROV）+路径验证（ASPA）"双重防护体系，并关注ASPA RFC正式发布进程。
本专题引用的标准、数据与事件均来自以下公开发布的权威来源，可按需查阅原始出处核实。所有事实性表述均经逐项查证，标注"草案/待发布"处请以IETF Datatracker与RIR官方公告的最新状态为准。
RPKI基础设施完整技术栈：框架（6480）、存储库（6481）、ROA（6482，已被9582废止）、起源验证（6483）、CP（6484）、算法（6485，已被7935废止）、Manifest（6486，已被9286废止）、证书Profile（6487）、签名对象模板（6488）、密钥轮换（6489）、TAL（6490）、IANA对象（6491）、供应协议（6492）、Ghostbusters（6493）。
RFC 9582（2024年5月）废止RFC 6482，强化ROA格式规范；RFC 9286（2022年）废止RFC 6486更新Manifest机制；RFC 7935规范RPKI算法与密钥尺寸（替代RFC 6485）。三者构成RPKI对象格式的现行标准基线。
RPKI-to-Router协议（6810/8210）定义RPKI数据到路由器的分发机制；RFC 6811定义BGP前缀起源验证的三态决策模型，是ROV部署的协议基础；配套RFC 8481（验证规则）、8893（出站验证）、9324（2022年12月，无路由刷新策略）。
RFC 9319（2022年2月，BCP 185）：maxLength使用最佳实践——最小化ROA、避免maxLength；RFC 9455：避免单ROA多前缀；RFC 9323：RSC路由服务器配置签名；RFC 9324（2022年12月）：无路由刷新的RPKI策略更新。
ASPA核心规范为IETF草案draft-ietf-sidrops-aspa-profile与draft-ietf-sidrops-aspa-verification（2026年中WGLC阶段，尚无RFC编号；注意"RFC 8970=ASPA"系误传）。OTC属性（RFC 9234）是ASPA生效前提；BGPsec（RFC 8205及配套）代表完整路径签名路线。
RFC 7908（2016年）定义泄露五类分类学；RFC 8211列举CA/存储库管理者潜在恶意行为；8360重新审议验证规则；8416（SLURM）支持本地策略例外；8630规范TAL分发。
ISOC于2014年发起的全球路由安全倡议，四项核心行动：过滤、反欺骗、运营协作、路由信息验证。独立测量（Du等《Mind Your MANRS》，ACM IMC 2022）：截至2022年5月，超83%成员符合路由过滤要求，超95%符合路由信息便利化要求；2022年11月复测显示95.9%符合行动4。
NIST RPKI Monitor（2024年9月）：全球53.5%的IPv4前缀与58.9%的IPv6前缀被ROA覆盖；Kentik（Madory/Snijders，2024年5月）：IPv4路由表超50%路由首获有效ROA覆盖、70.3%流量流向Valid路由、除一家外全部transit-free运营商拒绝Invalid路由；RPKIViews年度统计（经MANRS发布）：2025年末全球ROA 344,209个（+23%），ASPA 556个。
Cloudflare官方博客事件报告：记录ELETRONET AS267613劫持1.1.1.1/32与Nova Rede AS262504泄露1.1.1.0/24至AS1031的完整经过（18:51 UTC开始，影响70个国家/地区300多个网络）；Cloudflare指出其自身RPKI ROV部署自动保护了内部服务。
NDSS 2026《Underlying Infrastructure Threats to RPKI Publication Points》（发布点DNS欺骗/域名接管风险测量：无rsync回退时IPv4覆盖率从100%跌至14.6%）；《Demystifying RPKI-Invalid Prefixes》（约96.9%的Invalid前缀源于配置错误）；Chung等《RPKI is Coming of Age》（ACM IMC 2019，2011年五大RIR全部投入生产部署的考证）。
中国教育和科研计算机网（CERNET）的RPKI部署与MANRS实践（2014年作为发起者之一加入；IPv6路由ROA签署率达84%，2026年8月公开报道）；BGPStream公开安全事件数据、RouteViews与RIS全球路由收集平台数据，均为本课题研究提供重要的数据支撑与实践参照。
美国美中经济与安全审议委员会2010年度报告：中国电信AS23724于2010年4月8日短暂宣告约3.7万个非自有前缀（持续约15-18分钟），影响"约15%的互联网目的地"；bgp.potaroo.net周度报告：2025年11月IPv4全局路由表达1,012,261条，突破100万条。
欢迎网络运营商、注册管理机构、安全厂商与研究机构加入RPKI路由安全研究体系，共建"监测—验证—处置—协同"的路由安全治理闭环。