01 · 研究背景与意义
1.1 为什么"测量"是RPKI研究的第一性问题
RPKI（资源公钥基础设施，RFC 6480）自2012年2月核心标准族（RFC 6480—6492）发布以来，已走过十余年的标准化与部署历程。与"协议设计"问题不同，RPKI研究面对的是一个典型的"部署科学"（deployment science）问题：机制本身能否提升路由安全是一回事，机制在全球数万个自治系统、五大区域互联网注册管理机构（RIR）管辖的实际运营环境中被签署了多少、验证执行了多少、执行质量如何，是另一回事。前者由密码学与协议分析回答，后者只能通过系统性测量回答。
测量的必要性来自三个基本事实：
- 部署意愿高度分散：ROA（路由源授权，RFC 6482）的签署完全依赖地址/AS资源持有者自愿；RPKI不提供任何强制力，覆盖率的每一分增长都来自具体组织的决策。
- 覆盖不等于防御：即使某前缀已被ROA覆盖，只有在传播路径上的运营商路由器实际执行路由起源验证（ROV，RFC 6483/RFC 6811框架）并丢弃Invalid路由时，该前缀才真正获得防护。测量必须区分"签署侧"与"验证执行侧"两个半面。
- 数据质量问题会反噬安全：配置不当的ROA（如maxLength设置过宽、证书过期未更新）可能将合法宣告标记为Invalid，造成可达性事故——部署测量必须同时度量"量"与"质"。
1.2 研究对象与三大测量命题
本子课题将"RPKI部署"操作化为三个可测量的命题，分别对应第4、5、6页：
| 测量命题 | 核心问题 | 关键指标 | 对应章节 |
|---|---|---|---|
| M1 覆盖测量 | 全球及区域的IPv4/IPv6地址空间中，有多大比例已被ROA覆盖？增长趋势如何？区域间差异多大？ | 地址空间ROA覆盖率、前缀ROA覆盖率、被覆盖宣告占比、增长率 | 第4页 |
| M2 执行测量 | 在BGP实际选路中，有多少网络真正执行ROV并拦截Invalid路由？RTR生态成熟度如何？ | ROV执行率（多口径）、RTR会话可见性、验证器软件生态 | 第5页 |
| M3 效能测量 | RPKI在真实劫持/泄露事件中实际阻止了什么？残余风险结构如何？ | 事件级防护率、NotFound残余暴露面、误伤事故率 | 第6页 |
1.3 与反钓鱼治理的关联意义
网络钓鱼的落地依赖流量到达攻击者服务器。BGP劫持可将用户流量在路由层重定向至钓鱼站点——这是一种应用层防御（域名检测、邮件过滤、URL信誉）完全无法感知的"底层通道型"攻击。2024年6月Cloudflare 1.1.1.1事件证明此类事件在真实互联网中反复发生。对RPKI部署水平与效能的准确测量，是回答"互联网距离具备路由层反钓鱼拦截能力还有多远"这一治理问题的定量基础，也是本课题将测量结果输出给子课题06（路由安全态势感知）的价值所在。
核心科学问题：在"自愿签署、自愿验证"的去中心化部署结构下，如何建立口径统一、可复现、可交叉验证的测量体系，准确刻画RPKI在全球/区域/经济体/AS多粒度的部署态势，并将"覆盖率"翻译为"真实防护能力"，同时识别数据质量缺陷对安全效能的反噬？本课题围绕"口径与时效（KQ-1）、执行可见性（KQ-2）、效能归因（KQ-3）"三个关键问题展开。
02 · 研究目标与关键问题
- 口径目标：建立地址空间/前缀/AS/宣告空间四套覆盖率口径的统一定义与换算方法，使不同来源（RIPE NCC、ARIN、NIST、APNIC）的统计结果可横向对比。
- 时效目标：构建周级更新的全球部署快照管道，支撑"里程碑事件"（如全球IPv4宣告空间ROA覆盖突破50%）的精确判定与回溯验证。
- 执行目标：综合被动观测与控制实验证据，给出ROV执行率的多口径区间估计，并明确各口径的偏差方向。
- 效能目标：建立事件级反事实评估框架，量化RPKI在真实劫持/泄露事件中的实际贡献与残余风险。
- 转化目标：向子课题01（事件档案）、03（ROA质量）、06（态势感知）输出结构化测量数据集与指标体系。
2.1 三个关键研究问题（KQ）
| 编号 | 关键问题 | 内涵说明 | 对应章节 |
|---|---|---|---|
| KQ-1 | 口径统一与时效 | 各RIR统计口径（地址空间 vs 前缀 vs 成员LIR比例）差异显著，RRDP/rsync快照存在时间漂移，如何建立可比、可复现、带时间戳的覆盖测量？ | 第3页 §02—§04 / 第4页 |
| KQ-2 | 执行可见性 | ROV在路由器本地执行，协议层不留全局痕迹；如何用被动观测（RTR会话、控制面行为）与受控实验推断全球ROV执行率而不引入伦理风险？ | 第5页 §02—§04 |
| KQ-3 | 效能归因与残余风险 | 某次劫持未造成全球中断，是RPKI拦截了它、还是事件本身影响面有限？如何区分防御效能与基线暴露，并刻画NotFound残余风险？ | 第6页 §02—§05 |
2.2 关键数字锚点（本课题全篇引用）
03 · RPKI测量生态全景
3.1 测量基础设施与参与方
| 角色 | 职责/产出 | 代表 |
|---|---|---|
| 信任锚运营方 | 运营RPKI信任锚与托管存储库，签发/管理资源证书体系，发布区域部署统计 | 五大RIR：APNIC、ARIN、RIPE NCC、LACNIC、AFRINIC |
| 部署统计发布方 | 基于自有测量管道发布区域/经济体粒度ROA覆盖、ROV采纳统计 | RIPE NCC（Member Update/Radar）、APNIC Labs（按经济体统计）、ARIN RPKI统计页、NIST RPKI Monitor |
| 验证器与工具生态 | 开源RPKI验证软件（RP软件）、RTR服务器、监测告警工具 | rpki-client、Routinator、Fort Validator、OctoRPKI、RTRTR、BGPalerter |
| 测量研究机构 | 纵向部署研究、控制实验设计、效能归因模型 | CAIDA、FORTH/ICS-FORTH（ARTEMIS）、乔治亚理工、APNIC实验室（Geoff Huston）等 |
| 倡导与治理组织 | 路由安全最佳实践倡议、部署行动清单、行业协同 | MANRS（ISOC发起）、IETF SIDROPS工作组、各RIR社群政策 |
| 大型部署实践者 | 大规模签署ROA并执行ROV的网络，提供标志性实证案例 | Cloudflare（自身全网ROA+ROV，运营isbgpsafeyet.com公益检测站）、CERNET（IPv6 ROA签署率84%）等 |
3.2 领域演进关键时间线
| 时间 | 事件 |
|---|---|
| 2012-02 | IETF发布RPKI核心标准族（RFC 6480—6492），RIPE NCC率先推出生产级RPKI服务 |
| 2013 | RFC 6810定义RPKI-to-Router协议（RTR）v0；RFC 6811定义BGP路由起源验证（ROV）操作框架 |
| 2014 | RFC 7115发布（基于RPKI的起源验证操作指南）；CERNET作为发起者之一加入MANRS |
| 2017 | RFC 8210（RTR v1，废黜6810）、RFC 8182（RRDP，基于HTTP的RPKI存储库增量同步协议）、RFC 8181（发布协议）、RFC 8183（带外配置协议，废黜6492）、RFC 8205（BGPsec）、RFC 8211（RPKI体系CA/存储库管理者不良行为分析）密集发布 |
| 2018 | RFC 8416（SLURM，本地资源管理，支撑本地例外与灰度上线）；RFC 8374（BGPsec设计选择分析） |
| 2019 | Testart等发表《RPKI is Coming of Age》（ACM IMC 2019），首次系统给出纵向部署与Invalid宣告测量基线 |
| 2020 | Cloudflare上线isbgpsafeyet.com，面向公众测量运营商是否过滤RPKI Invalid路由；RFC 8970（RPKI验证再审视） |
| 2021 | Sermpezis等发表《Are We There Yet? On RPKI's Deployment and Security》（NDSS 2021），系统评估ROV部署率与安全收益；RIPE NCC Validator停止维护，生态向rpki-client等开源验证器集中 |
| 2022 | RFC 9234（利用BGP角色与Only-To-Customer属性防范路由泄露）；MANRS成员统计：超83%成员符合路由过滤要求、超95%符合路由信息便利化要求（IMC 2022《Mind Your MANRS》） |
| 2024-06 | Cloudflare 1.1.1.1劫持+泄露叠加事件（AS267613/AS262504）成为RPKI防御效能的标志性实证（第6页复盘） |
| 2025—2026 | RIPE区域IPv4地址空间ROA覆盖达76%、IPv6达44%（RIPE NCC Member Update，2026年5—6月）；全球ROA对象数突破34万、唯一有效VRP近78.8万条（RPKIViews 2025年底快照：ROA 344,209个，同比+23%）；ASPA对象签发量2025年同比增长约5倍（年末556个唯一客户AS，约占全球路由AS的0.5%），RIPE NCC于2025年、ARIN于2026年1月先后开放ASPA签发；IETF SIDROPS按新章程推进ASPA等规范的多实现互操作验证 |
04 · 术语速查与常见误区
4.1 核心术语
| 术语 | 释义 |
|---|---|
| ROA（Route Origin Authorization） | 路由源授权对象（RFC 6482），由地址持有者签发的签名对象，声明"前缀P可由自治系统A宣告，最长前缀长度为L"，是RPKI验证的基本证据单元 |
| VRP（Validated ROA Payload） | 经验证的ROA载荷，RP软件将ROA解析为{前缀, 最大长度, 授权AS}三元组后的本地验证数据结构；RTR协议分发的即VRP |
| ROV（Route Origin Validation） | 路由起源验证（RFC 6483框架、RFC 6811操作定义、RFC 7115运营指南）：路由器将BGP宣告与本地VRP库比对，输出Valid/Invalid/NotFound三态判定 |
| RTR（RPKI-to-Router）协议 | RFC 6810/8210定义的验证结果分发协议，通过TCP（约定端口323）将VRP从RP软件推送至路由器；v1（RFC 8210）为现行版本 |
| RRDP（Repository Delta Protocol） | RFC 8182定义的RPKI存储库同步协议：基于HTTPS的XML通知/增量/快照三元组机制，相比rsync大幅降低同步延迟与负载 |
| TAL（Trust Anchor Locator） | 信任锚定位符（RFC 6490），RP软件据此定位并获取RIR信任锚证书 |
| Manifest | 清单文件（RFC 6486），CA对其发布的全部对象集合的签名清单，用于存储库一致性校验与对象缺失检测 |
| SLURM | Simplified Local Internet Number Resource Management with the RPKI（RFC 8416）：允许RP软件管理员本地添加/过滤VRP，用于例外处理与灰度上线 |
| 地址空间口径 vs 宣告空间口径 | 覆盖率两种主要算法：前者以RIR分配的全部地址块为分母，后者以BGP路由表中实际宣告的地址空间为分母；前者衡量"资源治理覆盖"，后者衡量"实际路由防护潜力"，数值差异可达数十个百分点 |
4.2 常见误区辨析
| 误区 | 辨析 |
|---|---|
| "ROA覆盖率70% = 70%的路由安全了" | 错误。覆盖率是签署侧指标；只有当宣告路径上的网络执行ROV并丢弃Invalid时防护才生效。执行侧（第5页）的部署显著落后于签署侧，两者差距是本课题的核心发现之一。 |
| "NotFound等于Invalid，同样会被拦" | 错误。RFC 6483三态判定中NotFound意为"无对应ROA证据"，其默认策略是接受；NotFound前缀可以被任何人劫持而不触发任何告警。当前全球仍有相当比例宣告空间处于NotFound状态。 |
| "RPKI能防路由泄露" | 错误。ROV只验证起源合法性，不验证AS_PATH传播路径。泄露防护依赖RFC 9234（角色+OTC）等机制，或未来的ASPA路径验证（制定中）。 |
| "签署了ROA就一劳永逸" | 错误。ROA依赖证书链有效性：资源证书过期、前缀转让未更新、maxLength配置与实际宣告不符，都会产生Invalid判定并可能导致合法流量被丢弃（第7页风险分析）。 |
| "各家统计的覆盖率可以直接横向比较" | 错误。RIPE NCC、ARIN、NIST、APNIC的口径（地址空间/前缀/LIR成员比例）、时间快照、是否限定"宣告空间"均不同；横向比较前必须做口径归一化（第3页方法）。 |
| "BGPsec已经取代RPKI" | 错误。BGPsec（RFC 8205）虽完成标准化，但全球实际部署极其有限；RPKI/ROA是当前唯一规模化部署的路由安全机制，ASPA被视为从起源验证走向路径验证的演进方向。 |
05 · 研究范围与合规边界
- 对象范围：全球公共互联网的RPKI部署：五大RIR信任锚体系下的ROA签署、RTR/R验证器生态、路由器ROV执行；覆盖IPv4与IPv6双栈。
- 时间范围：以2012年标准发布为起点，重点分析2020年以来的规模化部署阶段（测量基础设施成熟、数据可比性较好）。
- 深度边界：本课题做"测量与效能评估"；RP软件代码审计、RIR平台渗透测试、BGPsec/ASPA的密码学分析不属于本子课题范围。
合规与伦理声明：①全部测量基于RIR公开的RPKI存储库（RRDP/rsync公开端点）与公开BGP数据，严格遵守各RIR的使用政策与速率限制；②ROV执行探测（第5页）仅使用研究者自有资源与既有公开观测数据，不主动向第三方网络注入任何路由或流量；③文中所有统计数字均标注口径、来源与时间，区间估计注明上下界；④RPKI对象内容可能包含资源持有者注册信息，处理时遵循最小必要原则，不聚合发布可定位到具体组织的敏感细节；⑤本课题结论不构成对任何RIR或运营者的评价或指控。
06 · 与课题体系的协同关系
| 协同子课题 | 数据/方法交换内容 |
|---|---|
| 01 BGP路由劫持检测与溯源 | 本课题提供各区域ROA覆盖率基线与NotFound高风险前缀清单，用于劫持检测规则的RPKI富化与"可预防性"标注；对方输出的事件档案库（含验证状态标注）是效能评估的输入 |
| 03 ROA数据质量分析 | 本课题覆盖测量产出的"高覆盖但高Invalid率"异常区域清单移交对方做配置错误深挖；对方输出的maxLength/过期证书错误模式用于本课题覆盖质量维度计算 |
| 04 RPKI基础设施弹性 | 本课题在同步管道中持续记录各RIR存储库的可用性与同步延迟，直接支撑对方单点故障与冗余度分析 |
| 05 ASPA与路径验证演进 | 本课题的ROV执行率基线是评估ASPA增量价值的对照组；对方跟踪的标准化进展（draft-ietf-sidrops-aspa-profile）反哺本课题测量指标扩展 |
| 06 路由安全态势感知 | 本课题输出覆盖类/执行类/质量类核心指标（周级快照），构成态势指标体系的最大单一数据源 |
07 · 预期成果与交付物
- 《RPKI部署测量方法学与全球部署画像》研究报告（含口径体系、数据源清单、2020—2026纵向曲线、区域对比）
- 多口径ROA覆盖周度快照数据集（地址空间/前缀/AS/宣告空间四套口径，含原始计算脚本）
- ROV执行率多口径估计与证据汇编（被动观测+控制实验证据分级）
- RPKI效能评估框架与事件级分析模板（含Cloudflare 1.1.1.1等标杆案例的结构化复盘）
- 部署最佳实践清单与90天实施路线（第7、8页）
本节参考来源（第1页）
以下均为真实可查的权威来源（IETF标准原文、RIR官方统计、学术文献），用于支撑本页事实性表述。
IETF RFC 6480《An Infrastructure to Support Secure Internet Routing》（2012年2月）：rfc-editor.org/rfc/rfc6480。RPKI体系框架奠基标准。
IETF RFC 6482《A Profile for Route Origin Authorizations (ROAs)》（2012年2月）：rfc-editor.org/rfc/rfc6482；RFC 6483《Validation of Route Origination Using RPKI》（2012年2月）：rfc-editor.org/rfc/rfc6483。
IETF RFC 7115《Origin Validation Operation Based on the Resource Public Key Infrastructure (RPKI)》（2014年1月）：rfc-editor.org/rfc/rfc7115。ROV运营最佳实践。
IETF RFC 8210《The Resource Public Key Infrastructure (RPKI) to Router Protocol, Version 1》（2017年9月，废黜RFC 6810）：rfc-editor.org/rfc/rfc8210。
Testart C. 等《RPKI is Coming of Age: A Longitudinal Study of RPKI Deployment and Invalid Route Origins》（ACM IMC 2019）：doi.org/10.1145/3355369.3355578。RPKI部署纵向测量奠基性工作。
Sermpezis P. 等《Are We There Yet? On RPKI's Deployment and Security》（NDSS 2021）：ndss-symposium.org。ROV部署率与安全收益系统评估。
RIPE NCC RPKI服务与统计：ripe.net；RIPE NCC Member Update（2026年5月、6月连续两期，IPv4覆盖76%、IPv6 44%，地址空间口径）。
APNIC Labs RPKI统计（按经济体粒度）：labs.apnic.net/dists/rpki；NIST RPKI Monitor：rpki-monitor.antd.nist.gov；Cloudflare isbgpsafeyet：isbgpsafeyet.com。
MANRS（路由安全相互协议规范）：manrs.org；Fabrikova M. 等《Mind Your MANRS: Characterizing Routing Security of Participating Networks》（ACM IMC 2022）。
Snijders J.《RPKI's 2025 Year in Review》（RPKIViews.org年度测量，2026年1月，经RIPE Labs/NANOG发布）：全球ROA/VRP/CA对象规模、ASPA部署数据（87→556个唯一客户AS）、SIDROPS标准化进展的年度权威盘点。