01 · 研究背景与意义
1.1 ROA在RPKI中的定位：最广泛部署、却也最易出错的密码学对象
RPKI是建立在X.509证书体系之上的资源公钥基础设施（RFC 6480），其目标是为"谁拥有哪些IP地址块与AS号、谁被授权宣告哪些前缀"提供密码学可验证的证据。在RPKI的对象家族中，ROA（Route Origin Authorization，路由源授权，RFC 6482）是迄今部署最广泛的密码学对象：截至近年统计，全球IPv4路由表中首次被ROA覆盖的比例已超过50%，RIPE区域IPv4地址空间的ROA覆盖率已达约七成量级（据RIPE NCC公开统计，具体数值随时间波动），其规模与影响力远超ASPA、BGPsec等演进对象。
ROA的核心语义简洁而强大：它由一个资源持有者（通过其RPKI证书）签发，声明"某个自治系统号（asID）被授权，作为路由起源，宣告一组指定的IP前缀"。路由器在启用ROV（RFC 6483）时，将每条BGP路由的起源AS与前缀，与ROA库比对，得出Valid / Invalid / NotFound三种状态。正是这种"简单授权=可丢弃"的二元强力，使得ROA一旦出错，代价极高。
1.2 为什么"ROA数据质量"比"有没有ROA"更关键
在安全机制设计中，存在一个常被忽视的规律：当一种防御机制会主动丢弃流量时，"错误地丢弃合法流量"的代价，可能大于"没有该机制"。ROA正是这种"主动丢弃型"机制的典型——启用ROV的网络会丢弃验证状态为Invalid的路由。由此产生一个反直觉但关键的事实：
- 没有ROA：对应前缀的路由处于NotFound状态，是否被接受取决于各网络的策略；攻击者若劫持该前缀，ROV无法拦截（防护缺失），但合法路由不会因此被误杀（无自伤）。
- 有正确ROA：合法路由Valid、劫持路由Invalid被拦截，达到防护目的。
- 有错误ROA：合法路由可能被判定为Invalid而被启用ROV的对等方丢弃——这是"自伤型安全"（self-inflicted outage）：防御机制本身成了业务中断的来源，且故障点不在攻击者，而在自己的配置。学术与运营社区已多次记录此类事件（详见第6页案例库）。
因此本课题的核心关切不是"ROA覆盖率有多高"，而是"已有的ROA中有多少是正确、有效、与真实路由意图一致的"。这恰恰是当前RPKI研究与实践中的薄弱一环：部署度量（覆盖率）被反复讨论，而质量度量（错误率、过期率、越界率、误伤率）长期缺乏系统性研究。
1.3 威胁模型：ROA质量缺陷的成因谱系
本课题将ROA数据质量缺陷按"是否可被攻击者直接利用"与"是否造成自伤"两个维度建模，归纳出以下成因类别（详细机制见第2、4页）：
| 缺陷类别 | 典型表现 | 主要成因 | 典型后果 |
|---|---|---|---|
| 配置型错误 | maxLength设置过严（合法更具体宣告被判Invalid）、授权了错误的asID、前缀范围与真实宣告不一致 | 人工录入失误、迁移窗口未及时更新、对ROA语义理解偏差 | 自伤（合法路由被丢弃） |
| 生命周期型失效 | RPKI CA/EE证书过期未续签、Manifest或CRL未及时更新（陈旧） | 自动化签发/重签流程缺失、监控缺位、密钥轮换（RFC 6489）流程未跑通 | 批量ROA失效、连带合法路由Invalid |
| 范围越界型 | ROA授权了超出自身资源证书（RFC 3779扩展）授权范围的地址块（over-claiming）；对已回收/转让的地址继续授权（僵尸ROA） | 地址空间转让/回收流程未同步清理ROA、资源证书范围理解错误 | 无效授权、可能被验证器拒收，或造成误判 |
| 一致性型偏差 | 有ROA但长期无对应BGP宣告（僵尸ROA）；有宣告但无ROA（未保护前缀） | 业务下线未清理、宣告策略与ROA策略脱节 | 数据噪声、覆盖度虚高、防护缺口 |
| 存储库/传播型 | RP（Relying Party）拉取到的对象与RIR发布不一致、RRDP/rsync同步异常 | 存储库可用性问题、RP实现差异、网络分区 | 部分网络视图不一致、间歇Invalid |
1.4 研究意义
对资源持有者与网络运营者而言，ROA质量直接决定"部署RPKI究竟是提升韧性还是引入风险"；对RIR/NIR而言，ROA质量度量是其平台健康度与用户支持的实证基础；对路由安全整体生态而言，只有把"质量"纳入部署指标，RPKI的规模化推进才具备可持续性——否则每一次规模扩张都可能放大错误配置的破坏性。本课题以"基于公开数据、可复现、只分析不篡改"为原则，构建不依赖任何商业服务的ROA质量评估方法论。
核心科学问题：如何从多源、异构、带时效性的RPKI对象流与BGP路由数据流中，以可接受的时延与误报率，识别并分类ROA配置错误、生命周期失效与范围越界，量化其对ROV决策（Valid/Invalid/NotFound）的偏差影响，并给出可落地的修复建议，形成"发现→确认→建议→度量"的闭环？本课题围绕"数据可得性与完整性（KQ-1）、错误识别准确性与分类（KQ-2）、影响评估与修复可行性（KQ-3）"三个关键问题展开。
02 · 研究目标与关键问题
- 度量目标：建立一套可复现的ROA质量指标体系，覆盖覆盖率、保护度、过期率、越界率、僵尸率、maxLength合理度等维度，量化"已有ROA中有多少是健康、有效、与真实意图一致的"。
- 识别目标：构建分层错误识别体系，将ROA错误按成因与严重程度分类，区分"必改（会导致自伤/失效）"与"应改（削弱防护/噪声）"，输出结构化错误档案。
- 校验目标：以BGP RIB、RDAP/WHOIS、IRR为参照，对ROA进行三方一致性比对，量化偏差并定位"有ROA无宣告""有宣告无ROA""授权越界"三类异常。
- 闭环目标：与子课题02（部署测量）、子课题01（劫持检测）、子课题04（基础设施弹性）形成联动，输出ROA修正建议模板与质量度量月报。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 数据可得性与完整性 | RIR存储库存在rsync/RRDP双通道差异与可用性波动，RP验证器输出格式各异，如何在控制成本前提下实现近实时、低缺口、可对齐的ROA与BGP数据采集？ | 第3页 §01—§04 |
| KQ-2 | 错误识别准确性与分类 | 合法场景（任播、多归属、迁移窗口、故意宽松授权）大量存在，如何让"ROA异常"检测不误伤合法配置，同时不漏掉会导致自伤或失效的错误？ | 第4页 §02—§05 |
| KQ-3 | 影响评估与修复可行性 | 一个错误ROA究竟会误伤多少启用ROV的网络、影响多大流量？如何给出低风险、可回滚的修复建议并被运营者采纳？ | 第5页 §05 / 第7页 / 第8页 |
03 · 数据质量生态全景
3.1 生态参与方与职责
| 角色 | 职责/产出 | 代表 |
|---|---|---|
| 资源注册管理机构（RIR / NIR） | 签发资源证书、托管RPKI存储库（rsync/RRDP）、提供ROA签发界面与Dashboard，是ROA数据的权威来源 | APNIC、ARIN、RIPE NCC、LACNIC、AFRINIC 五大RIR；CNNIC（APNIC框架下的中国国家互联网注册管理机构NIR） |
| RP（Relying Party）验证器 | 从RIR存储库同步并验证全部RPKI对象，输出可供路由器消费的验证数据仓（通常通过RTR协议） | Routinator（NLnet Labs）、rpki-client（OpenBSD/RIPE NCC）、OctoRPKI（Cloudflare）、FORT Validator、RIPE NCC RPKI Validator（已退役） |
| 测量与研究机构 | 基于存储库与BGP数据开发ROA质量度量、覆盖度统计、错误模式研究 | RIPE NCC Routing Statistics、APNIC Labs、CAIDA、NORID RPKI Tools、各高校网络测量组 |
| 网络运营者 | 签发/维护自身ROA、启用ROV、监控ROA状态与Invalid路由 | 运营商、云厂商、IXP、内容网络；国内学术网络如CERNET已开展RPKI部署实践（具体签署率以CERNET官方公开数据为准） |
| 协调治理组织 | 制定路由安全规范、推动协同处置、提供最佳实践 | IETF（SIDR/SAVNET等WG）、MANRS倡议、各NOC/安全邮件列表 |
3.2 领域演进关键时间线（与ROA质量直接相关）
| 时间 | 事件 |
|---|---|
| 2012-02 | RFC 6480—6483 发布，定义RPKI核心架构、ROA对象（RFC 6482）与路由起源验证流程（RFC 6483）；同年RFC 6486（Manifest）、RFC 6493（Ghostbusters记录）完善对象体系 |
| 2013—2017 | RFC 7115（2014年1月，BCP 185，基于RPKI的起源验证操作考虑，含'初始部署不宜直接丢弃Invalid'等关键运维建议）、RFC 7454（2015年2月，BCP 194，BGP运维与安全，含ROA与路由验证最佳实践）陆续发布，运营社区开始系统讨论ROA配置陷阱 |
| 2017 | RFC 8182 发布RRDP（RPKI Repository Delta Protocol），在rsync之外提供基于HTTPS的存储库同步，缓解rsync扩展性与可用性瓶颈（与数据质量的数据可得性直接相关） |
| 2018—2020 | 多起"RPKI存储库一致性/证书生命周期"事件推动社区重视ROA质量；RP验证器（Routinator、rpki-client、OctoRPKI）走向生产化，质量监控工具逐步出现 |
| 2021—2023 | 各大RIR推进RPKI信任锚证书定期轮换与存储库高可用改造；ROA覆盖率快速攀升，质量度量（过期、越界、僵尸）议题升温 |
| 2024-06 | Cloudflare 1.1.1.1 遭BGP劫持+路由泄露叠加事件，Cloudflare因其已部署RPKI/ROV而自动拒绝Invalid路由、内部服务未受影响——侧面印证"正确且健康的ROA"是防护生效的前提（第6页复盘） |
| 2025 | 全球RPKI数据库持续扩张：据RPKIViews年度统计，2025年底全球ROA数量达344,209张（同比+23%），唯一验证ROA载荷（VRP）达787,737条，唯一IPv4地址覆盖约18.2亿——规模扩张使数据质量问题的影响面同步放大，质量治理紧迫性凸显 |
| 2025 | IETF SIDROPS工作组修订章程：RFC发布须具备多个实现且互操作；发布RFC 9829（RPKI CRL编号扩展处理）；ASPA对象部署爆发式增长（签署AS数从87增至556，+539%；RIPE NCC区域2025年开放ASPA对象创建，ARIN自2026年1月起经ARIN Online全面开放）——RPKI对象家族的质量治理边界扩展至ASPA等新对象 |
全球ROA规模量级（截至2025年底，据RPKIViews年度统计）：全球ROA对象约34.4万张（同比+23%）；唯一验证ROA载荷（VRP）约78.8万条；ROA中唯一起源AS约5.27万个；ROA覆盖的唯一IPv4地址约18.2亿个（约占全球已分配IPv4地址的43%量级）。另据NIST RPKI Monitor公开观测（基于RouteViews 20余个采集点、按RFC 6811/NIST SP 800-189算法对全球唯一前缀-起源对每6小时验证一次），2024—2025年全球IPv4前缀-起源对中Valid约五至六成量级、NotFound约四成量级、Invalid长期维持在约1%—2%的低占比（具体数值随观测时间与统计口径波动）。Invalid占比长期很低这一事实同时提示：ROV三态中真正需要质量治理重点拆解的是Valid与NotFound之间的覆盖缺口，以及低占比但高危害的Invalid（含自伤与劫持两部分）。规模越大，单点配置错误的波及面越广——这正是本课题将"质量"置于"覆盖"之前的现实依据。
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| ROA（路由源授权） | RFC 6482 定义的密码学签名对象，声明某个asID被授权作为起源宣告一组指定IP前缀（可带maxLength）。是RPKI中最核心、部署最广的对象。 |
| maxLength | ROA中可选字段：限定被授权前缀可被宣告的最大掩码长度。一条路由要成为Valid，其前缀长度必须≤maxLength。设置过严会误伤更具体宣告，过松则削弱防护。 |
| ROV（路由起源验证） | RFC 6483 定义的验证流程：将BGP路由的起源AS+前缀与ROA库比对，得出Valid/Invalid/NotFound。Invalid路由可能被丢弃。 |
| 资源证书（Resource Certificate） | 携带RFC 3779地址/AS扩展的X.509证书，声明持有者被授权管理的IP与AS资源。ROA必须由在其资源范围内的证书签发，否则构成越界（over-claim）。 |
| Manifest（清单）/ CRL | Manifest（RFC 6486）列出某CA下所有已发布对象的哈希，用于一致性校验；CRL（证书撤销列表）记录已撤销的证书。二者陈旧会导致验证器拒绝相关对象。 |
| Ghostbusters记录 | RFC 6493 定义的vCard式联系人对象，用于在RPKI对象出错时快速找到资源持有者的运维联系人——是ROA质量事件的"急救电话"。 |
| RP（Relying Party） | RPKI依赖方/验证器软件，从RIR存储库同步并验证全部对象，输出验证数据仓。其实现差异会直接影响"看到的ROA是否准确"。 |
| 僵尸ROA（Stale / Ghost ROA） | 已签发的ROA所覆盖的地址空间已被回收、转让或长期无任何对应BGP宣告，却仍留在存储库中，造成数据噪声与潜在越界风险。 |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| "签了ROA就一定更安全" | 错误。ROA是"主动丢弃型"机制：错误ROA（如maxLength过严、错误asID、证书过期）会让合法路由被判Invalid而被对等方丢弃，反而造成自伤型中断。覆盖率高不等于质量高。 |
| "maxLength越大越省事" | 误导。maxLength过大会允许攻击者用更具体前缀发起sub-prefix劫持且仍被判Valid，削弱ROA防护；过小则会误伤合法deaggregation。RFC 7454建议按真实最大宣告长度设置，不盲目放大。 |
| "ROV=RPKI，部署了就万事大吉" | 需澄清。ROV只验证起源是否合法，对路径操纵（路由泄露、AS_PATH伪造）无效；且ROV是否生效取决于各网络是否真正丢弃Invalid，验证结果为NotFound的路由仍不受保护。ROA质量直接决定ROV的误伤率。 |
| "RPKI对象是静态的，签一次就行" | 错误。RPKI证书（CA/EE）、Manifest、CRL均有有效期，需定期重签/轮换（RFC 6489）；地址空间转让/回收后必须同步清理ROA，否则会产生过期与僵尸数据。 |
| "从RP验证器看到的ROA就是全网真相" | 错误。rsync与RRDP双通道存在一致性差异，各RP实现（Routinator/rpki-client/OctoRPKI）对陈旧/异常对象的处理策略不同，部分网络可能因同步延迟看到不一致视图，评估质量时须多RP交叉比对。 |
05 · 研究范围与合规边界
- 对象范围：面向全球公共互联网RPKI存储库中的ROA对象（IPv4/IPv6），以及与之关联的EE证书、Manifest、CRL、Ghostbusters记录；重点关注影响面较大、具备公开记录的错误模式。
- 深度边界：本课题做到"质量度量+错误分类+修复建议"层面；RPKI CA内部密钥管理的具体实现漏洞、对特定RIR存储库服务的渗透测试不在范围。
- 数据边界：仅使用公开RPKI存储库（rsync/RRDP）、公开RP验证器输出与公开BGP/RDAP/IRR数据，不修改、不签发、不撤销任何真实RPKI对象；分析结论仅以建议形式产出。
合规与伦理声明：①本课题全部技术路线以防御与质量提升为目的，严格遵守《网络安全法》《数据安全法》《个人信息保护法》及《反电信网络诈骗法》；②RIR存储库（rsync/RRDP）为公开数据，采集须遵守各RIR的速率限制与服务条款；③郑重声明：本课题绝不实际签发、修改或撤销任何生产环境ROA/证书，所有修复建议均仅供资源持有者参考；④越界/僵尸等结论均标注证据来源与置信度，不构成对任何机构的法律指控；⑤涉及第三方资源归属的研判遵循负责任披露原则。
06 · 与课题体系协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 01 BGP路由劫持检测与溯源 | 本课题发现的"有宣告无ROA（未保护前缀）"与"错误asID ROA"清单，直接输入对方劫持检测规则库，提升劫持/泄露识别准确率；对方提供的Invalid路由实测样本用于校验本课题误伤模型 |
| 02 RPKI部署测量与效能评估 | 本课题产出的"ROA质量指标"（过期率/越界率/僵尸率）作为部署成熟度的健康度维度，补充对方单纯的覆盖率度量；对方提供各区域ROA覆盖率基线用于质量偏差的基准校正 |
| 04 RPKI基础设施弹性 | 本课题记录"证书过期/Manifest陈旧导致批量ROA失效"的实证，输入对方信任锚与存储库单点故障分析；对方提供RP实现差异与同步失败率数据 |
| 05 ASPA与路径验证演进 | 本课题的"ROA质量治理流程"可作为ASPA对象生命周期管理的参考蓝本；对方提供ASPA对象结构用于扩展一致性校验方法 |
| 06 路由安全态势感知 | 本课题输出结构化ROA质量指标（STIX化：越界前缀、过期证书、僵尸ROA）直接支撑态势指标计算与年度趋势报告 |
07 · 预期成果与交付物
- 《ROA数据质量分析与错误识别方法论》研究报告（含ROA数据模型、错误分类学、一致性校验算法、影响评估模型）
- ROA质量度量指标集与采集管道原型（对接RIR存储库RRDP/rsync + 多RP验证器 + BGP RIB，输出覆盖率/过期率/越界率/僵尸率）
- ROA错误模式分类库与检测规则集（配置型/生命周期型/越界型/一致性型，含严重程度与置信度分级）
- ROA质量案例库（公开记录的典型错误与质量事件结构化档案，见第6页）
- ROA修正建议模板与上线检查清单（见第8页）
本节参考来源（第1页）
以下均为真实可查的权威来源（IETF标准原文、RIR公开统计、运营方/研究文献），用于支撑本页事实性表述。
IETF RFC 6480《An Infrastructure to Support Secure Internet Routing》（2012年2月）：rfc-editor.org/rfc/rfc6480。RPKI架构框架。
IETF RFC 6482《A Profile for Route Origin Authorizations (ROAs)》（2012年2月）：rfc-editor.org/rfc/rfc6482。ROA对象规范（asID、ipAddrBlocks、maxLength）。
IETF RFC 6483《Validation of Route Origination Using the Resource Certificate Public Key Infrastructure (PKI) and Route Origin Authorizations (ROAs)》（2012年2月）：rfc-editor.org/rfc/rfc6483。ROV验证状态Valid/Invalid/NotFound定义。
IETF RFC 6486《Manifests for the Resource Public Key Infrastructure》与 RFC 6493《RPKI Ghostbusters Record》：rfc6486 / rfc6493。对象清单与运维联系人记录。
IETF RFC 7454《BGP Operations and Security》（2016年）：rfc-editor.org/rfc/rfc7454。含ROA maxLength与路由安全运维最佳实践。
IETF RFC 8182《The RPKI Repository Delta Protocol (RRDP)》（2017年）：rfc-editor.org/rfc/rfc8182。RPKI存储库HTTPS增量同步协议。
RIPE NCC RPKI / Routing Statistics：ripe.net；RIPE NCC Radar：radar.ripe.net。IPv4/IPv6 ROA覆盖率公开统计。
Snijders, J.《RPKI's 2025 Year in Review》（基于RPKIViews.org全年采集数据，2026年1月发布，同步刊载于NANOG/SIDROPS邮件列表与APNIC Blog）：lists.nanog.org / rpkiviews.org。全球ROA数量（344,209张，+23%）、VRP规模（787,737条）、唯一IPv4覆盖（1,818,913,944个地址）、ASPA签署AS数（87→556，+539%）等年度统计。
NIST RPKI Monitor：rpki-monitor.antd.nist.gov。IPv4/IPv6前缀-起源对Valid/Invalid/NotFound三态的公开连续观测。
RP验证器：Routinator（NLnet Labs）nlnetlabs.nl；rpki-client（OpenBSD/RIPE NCC）rpki-client.org；OctoRPKI（Cloudflare）github.com/cloudflare/cfrpki。