安全分析与风险治理第7页：安全分析与风险治理

01 · 安全模型边界：ASPA证明了什么、没有证明什么

1.1 保证性质的三层界定

1.2 与BGPsec保证强度的对照

BGPsec通过逐跳签名提供路径完整性：任何路径篡改都会破坏签名链。ASPA放弃这一层保证，换取签名成本从O(路径长度×每UPDATE)降为O(每AS一份声明)。安全工程的意义在于：关系真实性已足以检出绝大多数泄露与粗糙的路径操纵（现实威胁分布以误配置泄露为主），而针对关系真实性残余的精化攻击（见§02）需要显著更高的攻击者能力——这是"以可部署性换安全强度"的合理权衡，但运营者必须清楚自己买到的是哪一层保证。

02 · 攻击面分析：针对ASPA验证模型的威胁

2.1 等效路径替换（已知残余风险）

攻击者若控制路径中一段真实的提供商—客户链（或借用合法的泄露路由），可将原始路径替换为另一条同样满足授权形态的路径，ASPA判定仍为Valid。缓解思路：①结合AS_PATH长度异常检测（路径显著长于历史基线时告警）；②结合BGPsec在关键链路段的局部部署（签名链可锚定路径真实性）；③利用起源侧ROV与RPKI数据交叉比对（起源授权与路径形态联合判定）。此外，草案的邻居AS一致性检查（第4页§01）为“剥离自身ASN”类操纵提供了协议级基础防御，但其本身不构成路径完整性保证。

2.2 Unknown降级利用（过渡期主要风险）

在覆盖率不足阶段，攻击者可特意选择未签发ASPA的AS作为路径中的顶点或关键跳，使验证结果落入Unknown并被宽松策略放行。缓解思路：①对重点保护前缀（自有资产、关键服务）建立"路径成分白名单"（允许出现的上游集合），Unknown路径降格而非放行；②监测Unknown占比趋势，推动关键AS签署；③对Unknown路径叠加OTC信号与历史基线偏离检测。

2.3 关系语义盲区：peer与复杂关系

ASPA的单向上坡语义无法表达：①peer-to-peer关系（攻击者可滥用"对等不验证"构造难以判定的路径段）；②sibling/联盟等双向转接关系；③route-server之间的RS-peer关系。草案对顶点Unknown的容忍在无意中为"借peer段冒充顶点"提供了形态空间——防御依赖：①运营者对出口过滤的纪律（不向peer传播peer路由等MANRS行动一）；②对自家客户的cone管理（只接受客户宣告其授权cone内的前缀）。

2.4 声明数据层的攻击

• 恶意/错误声明：AS可签发虚假ASPA（声明与真实商业关系不符的提供商）——这在模型内是"合法签名、错误语义"，验证器无法识别；后果是虚假声明可能被用来将攻击路径"洗白"为Valid。缓解：声明的社会验证（与PeeringDB/IRR数据交叉比对）、声誉机制；
• 过期/撤销滥用：攻击者无法直接伪造撤销，但可通过观察目标AS的证书到期窗口，预测其声明失效时间并安排路径操纵（声明失效→Unknown→放行）。缓解：托管自动续期、有效期监控（与子课题03联动）；
• 资料库与分发安全：ASPA与ROA共用RPKI资料库——rsync/RRDP篡改、RTR会话劫持、验证器数据投毒等风险及缓解与子课题04相同（Manifest校验、RTR TCP-AO/保护、多验证器交叉）。

03 · 运营风险：误判与可用性

3.1 误判来源清单

3.2 与ROV历史的对照

ROV推广期曾出现"maxLength配置错误导致合法路由被误杀"的经典事故（业界已沉淀出ROA最佳实践：按实际宣告粒度配置、避免过度宽泛的maxLength）。ASPA将重演同一规律：声明准确性决定误杀率。因此灰度期必须坚持"先降格（depref）后丢弃（drop）、先自家前缀后全网路由"的渐进纪律（第8页实施路线）。

04 · 与RFC 9234（OTC）及ROV的联动策略

4.1 三层判定的优先级设计

建议的联合判定优先级（任一环节命中即处置）：

-- 联合判定决策树（运营建议，非标准规定）
1. ROV == Invalid          → 丢弃（起源劫持，最高置信）
2. ASPA == Invalid         → 丢弃或大幅降格＋告警（路径违规，高置信）
3. OTC 违规信号            → 降格＋人工复核（无密码学强度，中置信）
4. ASPA == Unknown         → 按重点前缀白名单降格，其余采纳＋统计
5. ROV == Valid 且 ASPA == Valid → 采纳（全绿）

4.2 与MANRS行动项的映射

05 · 威胁缓解对照总表

本节参考来源（第7页）