01 · 效能评估框架：从覆盖率到防护力
效能评估回答的问题是：RPKI体系在真实事件中究竟阻止了什么？本课题采用"反事实对照"框架：对每个劫持/泄露事件，构造"若全网执行ROV"的反事实场景，与真实观测到的传播结果对照，分解出三层效能：
1.1 核心指标定义
| 指标 | 定义 | 用途 |
|---|---|---|
| 可预防性指数 | 事件中被判Invalid的宣告地址空间占比（反事实重放） | 衡量"如果执行到位，本可拦住多少" |
| 实际防护率 | 事件中被拦/快速收敛的宣告空间占比（真实观测） | 衡量执行侧真实水位 |
| 暴露缺口 | NotFound且被事件实际影响的地址空间占比 | 定位残余风险、指导签署优先级 |
| 收敛时延 | Invalid宣告从出现到在主要收集器消失的中位时长 | 衡量拦截的时效质量 |
02 · 标杆实证：Cloudflare 1.1.1.1事件深度复盘（2024年6月）
2024年6月27日发生的1.1.1.1事件是评估RPKI效能的最佳自然实验——一次"劫持+泄露"叠加的真实攻击/事故组合：
| 要素 | 事实（Cloudflare官方事件报告口径） |
|---|---|
| 事件构成 | 两类异常叠加（Cloudflare官方事件报告口径）：①2024年6月27日18:51 UTC，Eletronet S.A.（AS267613，巴西）开始向对等体、上游与客户宣告1.1.1.1/32——未经授权的精确前缀劫持；某Tier-1转接商将该/32误判为RTBH（远程触发黑洞）路由并黑洞化相关流量；②18:52 UTC，Nova Rede de Telecomunicações（AS262504，巴西）将1.1.1.0/24向上游AS1031（PEER 1 Global Internet Exchange）泄露并二次扩散——不当传播放大影响面 |
| 影响面 | 70个国家/地区、300多个网络的终端无法访问1.1.1.1公共DNS解析服务；Cloudflare评估总体影响面有限（部分国家受影响用户不足1%），但对受影响网络而言表现为完全不可达或高时延 |
| RPKI侧事实 | 1.1.1.0/24有ROA保护（授权起源为Cloudflare自有AS）；AS267613的/32劫持宣告对执行ROV的网络为Invalid；泄露场景（AS_PATH操纵）超出ROV能力范围 |
| Cloudflare自身防御 | Cloudflare全网执行ROV并丢弃Invalid路由，其内部服务与核心网络未受冲击；受影响的是未执行ROV的外部网络及其用户 |
| 处置时间线 | 20:03 UTC Cloudflare升级内部事件；20:08禁用与AS267613的对等互联点并联系对方；20:17联系AS262504处置泄露；21:56禁用第二个接收1.1.1.0/24流量的对等点；22:16 AS262504第三次泄露造成部分区域高时延；6月28日02:28 UTC泄露彻底清除，服务逐步恢复 |
2.1 效能解读（本课题分析）
- 起源劫持维度：该事件的劫持成分（AS267613宣告/32）在ROV执行网络中被直接判Invalid并拦截——验证了起源验证对精确前缀劫持的有效性；事件影响面的大小与"未执行ROV的网络占比"高度相关。
- 泄露维度：泄露成分（AS262504→AS1031）证明ROV对路径层问题天然失明——1.1.1.0/24本身是合法的Cloudflare前缀，泄露不改变其起源合法性判定；这正是RFC 9234角色/OTC机制与未来ASPA要补的课。
- 生态分层显现：核心网（执行ROV）无恙、接入网（未执行）受害——互联网呈现"防御纵深不均"的真实结构，执行侧短板即全网短板。
- 官方复盘建议与本课题清单的对应：Cloudflare在事件后提出推广RPKI/ROV采纳与MANRS原则、在DFZ拒绝长于/24的IPv4前缀、推进ASPA（当时处于草案阶段）与RFC 9234、探索DOA（Discard Origin Authorization，草案阶段）等长期建议——与本课题§04残余风险清单逐项对应，说明学术界与运营界对风险结构的判断高度一致。
本课题度量结论：按反事实框架，1.1.1.1事件的"可预防性"部分（/32劫持宣告）在ROV执行网络中实现100%拦截；但"残余暴露"（未执行网络的用户面）仍达70国300+网络——事件成为"覆盖率已过半、执行率仍不足"这一结构性结论的最直观注脚。
03 · 事件对照组：RPKI能防与不能防的边界
| 事件 | 类型 | RPKI效能判定 |
|---|---|---|
| 巴基斯坦电信劫持YouTube（2008，AS17557） | 起源劫持（子前缀劫持） | 可预防：若YouTube前缀有ROA且路径上网元执行ROV，/24劫持宣告将判Invalid。该事件发生于RPKI标准发布前四年，是催生路由安全研究的标志性案例 |
| MyEtherWallet加密货币盗窃（2018年4月24日） | 起源劫持配合DNS劫持 | 部分可预防：eNet（AS10297）伪造Amazon（AS16509）Route53前缀（205.251.192.0/21的更具体/24宣告），并经Hurricane Electric（AS6939）扩散；劫持期间中毒DNS服务器仅应答myetherwallet.com查询，致用户约15万美元ETH被盗；若Route53前缀有ROA且路径执行ROV，路由层成分本可拦截——该事件是"路由层+DNS层+钓鱼站点"多环节攻击的典型样本 |
| 美国东部大规模泄露事件（2019年6月，经Verizon传播） | 路由泄露 | 不可预防：泄露不改变起源合法性，ROV无感知——Cloudflare官方复盘《How Verizon and a BGP Optimizer Knocked Large Parts of the Internet Offline Monday》将此次大规模泄露归因于DQE通信客户侧BGP优化器配置错误、经Verizon（AS701）未加过滤地传播；此类事件只能靠过滤、RFC 9234与ASPA演进缓解 |
| 印尼Indosat大规模劫持（2014年4月2日，AS4761） | 起源劫持 | 可预防：BGPmon记录其开始宣告417,038条新前缀（RIPE RIS记录10,635个唯一受影响前缀）；事发时全球RPKI部署刚起步（标准发布仅两年），实际拦截面极小；类似事件曾于2011年1月发生（约2,800条前缀） |
| 中国电信（AS4134）前缀劫持（2010年4月8日） | 起源劫持 | 可预防：约15%的全局路由表（数万条前缀）被异常宣告约18分钟，波及多国政府与军事站点——RPKI标准当时尚未发布，属"前RPKI时代"的基线事件 |
| Rostelecom大规模泄露（2020年4月1日） | 路由泄露（疑似BGP优化器误配置） | 泄露成分不可预防、RPKI提供旁证：8,000余条前缀（含Google、Facebook、Amazon的更具体路由）被泄露；公开复盘指出执行RPKI验证的网络（如Telia、NTT）未采纳错误路由，实际压缩了影响面——部分部署价值的正面实证 |
| Cloudflare 1.1.1.1（2024年6月） | 劫持+泄露叠加 | 分层结论：劫持成分被ROV执行网络拦截；泄露成分穿透ROV；用户面伤害集中在未执行网络（详见§02） |
事件事实依据：Cloudflare官方博客事件报告、RIPE NCC/BGPmon运营方公开复盘、MANRS事件分析、学术文献（Testart IMC 2019、Sermpezis NDSS 2021）及子课题01事件档案库；本表效能判定为本课题基于反事实框架的分析结论。
04 · 残余风险结构：RPKI管不到的五类风险
- NotFound暴露面：全球宣告空间中仍未被ROA覆盖的部分处于"零证据"状态，可被任何人无告警劫持；该暴露面的规模与地理/行业分布是签署促进工作的靶向清单（第4页指标直接输出）。
- 路由泄露：起源验证对AS_PATH传播问题天然失明（2024 Cloudflare事件已实证）；缓解依赖入口/出口过滤、RFC 9234、ASPA（制定中）。
- 验证传播时延窗口：ROA签署到全网RP更新存在小时级窗口；配合"刚迁移/刚转让"的目标选择，劫持可绕开新鲜防护。测量动作：监测窗口时长分布并推动RP轮询周期压缩。
- ROA配置错误的反噬：maxLength不当、证书过期、幽灵VRP会把合法流量打成Invalid——若执行侧激进discard，可能造成自伤式中断；效能评估须同步统计"因RPKI配置错误导致的可达性事件"（与子课题03联动）。
- 路径操纵与降级攻击：对仅执行de-prefer的网络，攻击者可构造更优属性吸引流量；完整路径验证待BGPsec（部署有限）或ASPA补齐。
效能报告的完整披露义务：对外发布"RPKI拦截了某事件"结论时，必须同时披露：覆盖口径、执行口径、NotFound暴露面、以及本事件是否含泄露成分。只讲拦截成功而隐瞒穿透面，会系统性高估防御水位。
05 · 反钓鱼视角的效能评估
依托CNNIC国家互联网基础资源管理体系与公共互联网反网络钓鱼工作组的协同场景，本课题将路由层效能评估特化为反钓鱼三问：
- 拦截问：针对已备案钓鱼目标IP所在前缀，其合法ROA覆盖率多少？ROV执行网络能否在路由层阻断"钓鱼前缀劫持"？——这是应用层防御失效时的最后通道防线。
- 溯源问：对钓鱼基础设施的BGP宣告做RPKI状态标注（Valid/Invalid/NotFound）后，Invalid宣告的来源AS可直接进入处置通道；NotFound宣告则需传统RDAP/WHOIS溯源补强——RPKI显著降低了"起源冒用"类基础设施的溯源成本。
- 协同问：事件级效能数据（可预防性/实际防护率/暴露缺口）接入子课题06态势平台后，可回答"距离全网具备路由层反钓鱼拦截能力还差多少执行部署"这一治理问题。
本节参考来源（第6页）
事件级事实以官方事件报告为准；效能框架为本课题自定义方法论。
Cloudflare官方博客：1.1.1.1 BGP劫持与泄露事件报告（2024年6月27日）：blog.cloudflare.com。AS267613劫持/32、AS262504泄露/24、70国300+网络影响面等事实的权威来源。
Sermpezis P. 等《Are We There Yet? On RPKI's Deployment and Security》（NDSS 2021）：ndss-symposium.org（部分部署收益模型）。
Testart C. 等《RPKI is Coming of Age: A Longitudinal Study of RPKI Deployment and Invalid Route Origins》（ACM IMC 2019）：doi.org/10.1145/3355369.3355578（Invalid宣告来源与配置错误分析）。
事件事实来源：YouTube劫持（2008，AS17557/AS3491）：RIPE NCC等公开复盘；MyEtherWallet事件（2018年4月24日，AS10297/AS16509/AS6939）：MANRS事件分析（manrs.org）与Cloudflare技术博客；Indosat事件（2014年4月2日，AS4761）：BGPmon事件报告与RIPE Labs《BGP Leaks in Indonesia》；中国电信事件（2010，AS4134）与Rostelecom事件（2020）：公开媒体与NANOG社区复盘。
IETF RFC 9234（Route Leak Prevention using Roles in Update and Open Messages，2022）：rfc-editor.org/rfc/rfc9234；RFC 8205（BGPsec，2017）：rfc-editor.org/rfc/rfc8205。
MANRS行动#4（全局验证）与路由泄露缓解材料：manrs.org。