存储库单点故障与可用性评估第4页：存储库单点故障与可用性评估

01 · 存储库角色与"沉默的故障"

存储库是 RPKI 信任链的"最后一公里"。CA 签好对象后，必须把它们发布到 SIA 指向的存储库发布点，RP 才能拉取并验证。存储库的故障往往是一种"沉默的故障"：它不像路由劫持那样立刻引发可见的流量异常，而是让 ROV 悄悄退化为"基于陈旧/缺失数据的验证"——防御在不知不觉中被削弱。

• 不可达（Unreachable）：网络分区、DNS 误配、源站过载，使 RP 拉取失败。
• 非原子不一致（Non-atomic）：Manifest 已更新但所引用文件尚未就位（或反之），RP 抓到中间态，将对象判为缺失/损坏。
• 内容陈旧（Stale）：存储库可达但内容长时间未更新（如 CA 发布流程卡死），RP 持续使用旧 VRP。
• 被污染（Tampered）：在 RRDP 场景下的中间人 withhold/replay，使 RP 无法获知更新（完整性+可用性双重威胁，第6页详述）。

02 · rsync vs RRDP：可用性对比

03 · 失效影响窗口建模

存储库失效对 ROV 的影响并非瞬时"全有全无"，而是一个随时间的窗口。设存储库在 t0 失效，RP 的本地 VRP 缓存有生存时间（取决于 RP 刷新周期与 RTR hold time），则影响窗口 W 可粗略表示为：

W ≈ 失效持续时长 + RP缓存过期时延 + RTR会话保持时间 + 运维发现/恢复时延

若失效期间有"新ROA需生效"或"旧ROA需撤销"：
  影响 = max(未被及时授权的合法路由被误拦, 未被及时撤销的恶意/错误路由被放行)

• 对"新增授权"的影响：新签发的 ROA 无法被拉取 → 对应前缀的 ROV 仍基于旧视图（可能仍为 NotFound），但不会立即造成误拦（除非旧视图恰有冲突 ROA）。
• 对"撤销/更新"的影响：更危险——若某 ROA 需被撤销以阻止劫持，而存储库失效使其仍停留在 RP 缓存中，则防护失效窗口 = 缓存存活期。
• 对非原子不一致：影响是"对象被整片判为不可见"，表现为该 CA 子树 ROA 大面积消失（见第3页 AFRINIC 案例）。

04 · 真实事件案例库（2020—2024）

以下案例均来自 RIR 公开邮件列表与第三方监测（如 packetvis.com、IEEE 综述），按"现象—影响—根因—缓解"结构化归档，是 RPKI 弹性研究最宝贵的实证素材：

05 · 可用性度量方法

为把"弹性"从口号变为可量化指标，本课题建议对每一 RIR 信任锚及其存储库持续采集以下指标（具体采集实现见第8页）：

06 · RRDP 优先化与存储库问题陈述

• draft-ietf-sidrops-prefer-rrdp《RPKI Repository Requirements》：IETF sidrops 提出的 RRDP 优先化渐进方案（分阶段设想，以草案原文为准）——Phase 0：RIR 同时支持 rsync 与 RRDP；Phase 1：RIR 必须实现 RRDP；Phase 2：RP 软件优先 RRDP；Phase 3：RIR 以 RRDP 为主、rsync 仅兜底。目标是把对 rsync 的运营依赖降为"回退选项"，缓解源站过载与 DoS 风险。注意：该草案最新版为 -01（2021-10），此后多年未见更新，请以 datatracker 实时状态为准。
• draft-li-sidrops-rpki-repository-problem-statement：系统陈述存储库问题——（1）多数存储库由单一 AS 托管，可达性高度依赖该 AS；（2）循环依赖：14 个存储库恰好承载其所在 AS 的 ROA，一旦仓库宕机、该 AS 路由因 ROV 被降级，反而更难访问仓库，形成"先有鸡还是先有蛋"的死锁；（3）随着委托 CA 增多，存储库数量将爆发式增长（预测全量部署时可达约 10K 仓库、140K RP），刷新成本与"恶意 CA 耗尽 RP"风险上升。
• RFC 9697（2024-09）：《Detecting RPKI Repository Delta Protocol (RRDP) Session Desynchronization》定义了 RRDP 会话 ID/序列号失步的检测与恢复机制——直接回应 LACNIC 2023 年"多后端复用相同 Session ID 致 TA 整体消失"类事故，RP 软件应支持该机制。

6.1 恶意 CA 与 RP 资源耗尽（规模化风险）

随委托 CA 与存储库数量增长（draft-li 预测全量部署时可达约 10K 仓库、140K RP），RP 面临的不仅是可用性问题，还有被恶意 CA 拖垮的规模化风险：

• 树深度与对象量防护：主流 RP 已内置深度/数量限制——Routinator v0.14.1 默认 RPKI 树搜索深度为 32，rpki-client 默认为 12（draft-li 实测），可限制单个恶意 CA 制造的验证负担；但限制本身也可能被滥用为"通过深树隐藏恶意对象"的规避手段。
• 学术验证的攻击面：Stalloris（USENIX Security 2022）演示了 RPKI 状态降级攻击；rpkiller（arXiv 2022）研究对 RPKI 生态的系统性攻击；Beyond Limits（CCS 2023）与 Behind the Scenes of RPKI（IMC 2022）测量并揭示了 RPKI 信任结构中被忽视的弱点。上述研究均以防御为目的公开发表，其共同结论是：RPKI 的可用性与信任集中度问题需要系统性缓解，而非单点修补。
• 治理含义：draft-li 建议为存储库建立合理的准入与治理机制，避免"仓库数量爆炸"同时带来运维成本与攻击面膨胀。

07 · 冗余与高可用实践

本节参考来源（第4页）

以下来源支撑本页的案例、对比与度量方法。