01 · 覆盖与执行的落差：本课题的核心发现
第4页显示签署侧已进入规模化阶段（RIPE IPv4 72%–76%），但签署只解决"有没有证据"的问题；防御是否发生，取决于传播路径上的路由器是否执行ROV并对Invalid路由采取丢弃或降权动作。测量与学术研究的共同结论是：执行侧的部署显著落后于签署侧。
- 学术基线：NDSS 2021《Are We There Yet? On RPKI's Deployment and Security》系统评估认为，真正执行ROV（Invalid-as-drop）的AS占比仍处低水平，且不同测量方法给出的估计差异显著；作者同时证明：即使只有部分网络执行ROV，劫持事件的影响面也会被显著压缩——部分部署仍有真实价值，但远未形成"默认拦截"。
- 2026年多源证据：一项覆盖28,000余个AS的纵向研究发现，36.2%的AS完全未实现ROV，仅12.3%的AS实现对其全部路由的完全防护（RIPE Labs 2026年7月文章引述）；同时执行能力高度集中于大型转接网络——Lumen、Arelion、GTT、NTT、TATA、PCCW、Orange、AT&T等大型转接商过滤超过95%的RPKI-Invalid前缀，构成劫持流量"无处承载"的关键闸门。这组证据把"核心强、接入弱"从印象升级为可引用的量化结构。
- 结构性原因：ROV执行需要路由器软件支持+RP基础设施+变更窗口+风险承担（担心误伤合法路由）四重投入，而签署ROA只是网页表单操作；执行侧的决策成本远高于签署侧。
- 政策含义：覆盖率曲线的"好消息"不能外推为防护能力的等比例提升；执行率才是安全效能的真实瓶颈（第6页量化）。
三态暴露面结构：将全球宣告空间按ROV判定结果分解——Valid（有证据且一致，正常放行）、Invalid（有证据且冲突，可被拦截）、NotFound（无证据，零防护）。当前全球仍有相当比例的宣告空间处于NotFound状态，其中包含大量高价值目标前缀；NotFound暴露面才是劫持者的主要"猎场"。
02 · 执行测量的三种方法及其证据强度
| 方法 | 原理 | 优点 | 局限 | 证据强度 |
|---|---|---|---|---|
| 被动观测A：RTR生态统计 | 统计RP软件部署量、路由器RTR支持度、公开RTR服务器可见性 | 无干扰、可持续 | 只能证明"能力存在"，不能证明"策略执行" | 间接 |
| 被动观测B：控制面行为分析 | 分析收集器视角中Invalid路由的可见性与收敛行为（被拦截的Invalid在全网迅速不可见即暗示有执行者） | 基于纯公开BGP数据 | 无法定位具体执行者；受收集器覆盖偏差影响 | 中 |
| 控制实验 | 研究者用自有AS/前缀，在严格协调下宣告一条RPKI-Invalid路由，观测哪些网络收不到该路由、流量是否绕行 | 可直接证实具体网络的拦截行为 | 伦理门槛高、覆盖面受自有资源限制、需避免影响第三方 | 直接 |
2.1 控制实验的设计约束（伦理红线）
- 资源自有：实验前缀必须属于研究者自有AS，避免任何第三方可达性风险。
- 时长最小化：Invalid宣告窗口控制在分钟级，配合预公告（提前向相关社群与受影响路径上的大网通告实验窗口）。
- 流量真空：宣告的Invalid前缀不承载真实用户流量（黑洞配合），仅用于路径可见性探测。
- 可回溯：全程留存RIS Live更新流证据，实验后发布方法学与原始数据供复核。
2.2 公共测量项目：isbgpsafeyet范式
Cloudflare于2020年上线的isbgpsafeyet.com代表了控制实验的公共产品化形态：访问者从其网络发起对Cloudflare自有RPKI-Invalid测试前缀的可达性检测，据此判定其ISP是否过滤Invalid路由。该项目的公开名单显示：大型云与内容网络普遍执行ROV，而大量接入级与区域运营商仍未执行——这一"核心强、边缘弱"的结构与BGPalerter等工具的部署观测相互印证。本课题不直接复用其名单数据，而将其作为执行侧趋势的方向性证据。
03 · RTR与验证器生态成熟度
3.1 开源RP软件生态
| 软件 | 维护方 | 特征 |
|---|---|---|
| rpki-client | OpenBSD项目主导，RIPE NCC等参与 | C语言、高安全性设计（内存安全强化）；支持RRDP/rsync、RTR服务器、VRP JSON导出；运营商部署最广的开源RP之一 |
| Routinator | NLnet Labs | Rust实现；RTR服务器+HTTP API；文档完善，适合中小网络快速上线 |
| Fort Validator | NIC Chile | C实现、性能导向；拉美区域部署活跃 |
| OctoRPKI | Cloudflare | Go实现；支撑Cloudflare自有大规模ROV体系与公开测量 |
| RTRTR | NLnet Labs | RTR层面的转发/聚合代理，用于多RP冗余与大规模路由器接入 |
生态的另一面是退出：RIPE NCC官方Validator已于2021年停止维护，官方明确推荐社区转向rpki-client等开源方案——这一"中心化工具退场、开源生态承接"的演变本身即测量对象之一（工具集中度反映生态健康度）。
3.2 路由器侧支持度
- 主流商用平台：Cisco IOS XR、Juniper Junos、Arista EOS、Nokia SR OS、华为VRP等主流路由操作系统均支持RTR客户端与ROV策略配置，且支持按邻居/按策略差异化的Invalid处理动作。
- 开源路由栈：FRRouting支持RTR客户端与ROV，是研究与中小网络的主要试验场。
- 配置模式差异：不同厂商对"NotFound默认动作""Invalid计数器/日志""SLURM式本地例外"的支持细节不一，测量执行率时需注意"支持≠启用"。
04 · 部分部署的风险面：执行不一致问题
执行侧的不均衡（有的网drop、有的网de-prefer、多数网不验证）带来超出"没防护"的结构性问题：
- 安全收益的不均匀分布：Sermpezis等（NDSS 2021）的模型表明，ROV的部分部署仍能压缩劫持影响面，但收益随部署率呈非线性增长——低部署率阶段"每多一个执行者"的边际收益最大，治理资源应优先投向首批规模化执行者。
- 路径操纵的剩余空间：对仅做de-prefer的网络，攻击者可通过更优路径属性（如更短AS_PATH）诱导流量流向Invalid路由；纯起源验证对AS_PATH操纵与路由泄露天然失明（与RFC 9234角色机制、未来ASPA互补）。
- 验证时延窗口：ROA新签发到全网RP/RTR更新存在小时级传播窗口，窗口期内宣告无保护；劫持者可专门挑选"刚迁移、ROA未更新"的目标（第6页效能评估的残余风险项）。
测量纪律：任何"全球ROV执行率"的单点数字都是不可靠的。本课题只发布分口径区间估计，并随附证据构成说明；引用方必须保留区间与口径，禁止以单点数字做跨报告比较。
05 · 执行侧指标体系
| 指标 | 定义 | 数据来源 |
|---|---|---|
| ROV能力可用率 | 软件与硬件层面具备ROV执行能力的网络占比 | 厂商文档调研+RP生态统计 |
| ROV启用率（严格口径） | 对Invalid执行discard的网络占比，控制实验直接证实 | 控制实验证据集 |
| ROV启用率（宽松口径） | 对Invalid执行discard或de-prefer的网络占比 | 控制实验+控制面行为分析 |
| RTR会话密度 | 每百个宣告AS中可见的RTR服务端会话/部署迹象 | 被动观测+RP统计 |
| 验证时延 | ROA发布到被主要RP集采纳的中位时间 | 自建管道测量 |
| ROV实施/完全防护占比 | 未实现ROV的AS占比（约36.2%）与实现完全防护的AS占比（约12.3%），28,000+AS纵向样本 | 纵向研究（2026年经RIPE Labs引述） |
本节参考来源（第5页）
执行率估计仅引用区间与定性结论，单点数字需回到原文核对口径。
Sermpezis P. 等《Are We There Yet? On RPKI's Deployment and Security》（NDSS 2021）：ndss-symposium.org。ROV部署率与安全收益的核心文献。
Cloudflare isbgpsafeyet（公共ROV检测项目，2020年上线）：isbgpsafeyet.com；Cloudflare Radar路由安全板块：radar.cloudflare.com。
NTT BGPalerter（开源BGP/ROV监测告警工具）：github.com/nttgin/BGPalerter。
IETF RFC 8210（RTR v1）：rfc-editor.org/rfc/rfc8210；RFC 7115（ROV运营指南）：rfc-editor.org/rfc/rfc7115。
rpki-client：rpki-client.org；Routinator：nlnetlabs.nl；Fort：fortproject.org；RIPE NCC Validator停止维护公告（2021，推荐转向开源RP）。
IETF RFC 9234《Route Leak Prevention using Roles in Update and Open Messages》（2022）：rfc-editor.org/rfc/rfc9234（ROV对泄露失明的互补机制）。
FRRouting官方文档RPKI模块：docs.frrouting.org；各主流厂商RPKI配置文档（Cisco/Juniper/Arista/Nokia/华为官方文档库）。
RIPE Labs《Beyond Origin Validation: Four Classes of Routing Attack Nobody Is Validating》（2026年7月，Antonio Prado）：labs.ripe.net。引述28,000+AS纵向研究的ROV实施估计（36.2%未实施、12.3%完全防护）及大型转接网络过滤观测（过滤>95%的RPKI-Invalid前缀；Lumen/Arelion/GTT/NTT/TATA/PCCW/Orange/AT&T）。