为什么 RPKI 对互联网安全很重要
发布时间:最后更新:
目录
为什么 RPKI 对互联网安全很重要
互联网依靠许多互联的网络来传输数据，这些网络使用一种叫做边界网关协议（BGP）的系统来告知数据应该去哪里、哪个网络拥有哪一块 IP 地址、哪条路径最好。每个网络都会向其他网络发送路由通告，而这些通告在默认情况下会被信任。如果一个网络无意或故意发送了错误的信息，结果可能是流量丢失、数据被劫持，甚至是长时间的网络中断，这会影响企业和普通用户。多起重大事件已经证明，一次小小的路由错误就能导致重要服务宕机数小时，有些攻击者还利用虚假路由来窃取信息。
RPKI 的工作原理
资源公钥基础设施（Resource Public Key Infrastructure，简称 RPKI）正是为了解决这些问题而出现的。RPKI 让路由器可以验证某条路由是否真实，是否属于该 IP 地址的持有者。它通过为每一块互联网号码分配数字证书来证明所有权，路由器可以用这些证书判断路由是否被允许，从而在错误信息扩散之前将其拦截。随着连接设备的数量不断增加，攻击者拥有更多工具和动机来破坏网络，这种验证机制变得越来越重要。
RPKI 的工作原理很简单，并且可以直接融入现有的路由系统，网络运营商不需要重建设备。区域互联网注册机构会向每个 IP 地址块的持有者颁发数字证书，持有者使用证书创建“路由起源授权”（Route Origin Authorisation，ROA），声明哪个网络可以对外宣布这块地址。路由器通过验证器将收到的每条路由与这些授权进行比对，匹配则标记为“有效”，不匹配则标记为“无效”并丢弃。这样就可以阻止一个网络冒充他人宣告地址块，也能防止有人劫持流量进行窃听或盗取数据。RPKI 的加密机制使用与安全网页连接相同的公钥技术，但网络运营商并不需要理解所有细节，只需发布证书并运行验证器即可。由于验证是自动进行的，一旦系统搭建完成，保护就能持续生效而无需每天人工干预。
RPKI 的好处
互联网服务提供商和企业从 RPKI 中获得了清晰可见的好处，包括更少的宕机、更低的风险和更高的客户信任。一条错误的路由就可能导致海量流量被送往错误的地方，造成经济损失甚至法律诉讼。有了 RPKI，运营商可以在无效路由进入网络前将其阻断，保障服务正常运行和数据安全。拥有自有地址块的企业可以用 RPKI 确保只有他们选择的网络才能宣告这些前缀，即便使用多个上游连接，也能保持完全控制。这对银行、医院和在线商店尤为重要，因为它们必须保证服务始终可访问。RPKI 还创建了一个公开的地址所有权记录，有助于解决纠纷，也方便合作伙伴核实某个地址是否真实属于某家公司。如今，许多政府和大型行业组织都要求网络运营商把 RPKI 作为基本安全措施之一，因此部署 RPKI 还能帮助企业满足合规要求并保护品牌声誉。
部署风险与挑战
虽然 RPKI 带来很多好处，但部署过程中仍然存在风险和挑战，运营商需要充分了解并提前规划。建立证书和路由授权需要仔细操作，如果设置错误，可能会导致合法流量被错误阻断。系统依赖区域互联网注册机构来运营证书体系，如果注册机构发生技术故障或法律纠纷，证书可能受到影响。一些运营商担心政府可能施压注册机构撤销证书，这会导致网络无法访问。这些风险是真实存在的，但可以通过良好的规划、使用多个验证器以及制定清晰的内部规则来降低。许多运营商现在会在不同地点部署多个验证器，即使其中一个出现问题，其他验证器也能继续工作。社区组织也在努力保持系统的开放性，防止任何单一方滥用权力。
全球应用趋势
RPKI 的应用在全球范围内持续增长，并且速度越来越快。欧洲、亚洲、美洲的大型互联网服务提供商已经为大部分地址块签署了证书，大型内容分发网络和云服务公司也在路由器中加入了验证功能。较小的网络虽然部署较慢，但随着工具的简化和培训的普及，每个月都有更多网络加入。一些网络仍然接受无效路由，因为他们担心阻断会带来流量中断；还有一些网络因为缺乏人员或预算而延迟部署。但随着越来越多的网络拒绝无效路由，其他运营商面临的压力也在增加，因为客户开始要求 RPKI，合作伙伴也会提出部署要求。这形成了一个推动循环，每一次新的部署都会带动下一次，全球路由安全水平也随之提高。
RPKI 与互联网安全体系
RPKI 也是互联网整体安全体系中的重要一环。它与安全域名系统、加密传输协议以及更先进的监测工具相互配合。随着云服务、移动设备和关键基础设施的不断扩张，强大的路由安全价值日益凸显。许多专家预测，政府未来可能会要求关键网络必须部署 RPKI，大型企业也会要求合作伙伴提供部署证明。该技术还可能扩展到路径验证，让路由器不仅能检查前缀的所有权，还能验证数据传输路径。这些进步将让全球路由系统更稳定、更值得信任。虽然没有任何单一技术可以消除所有威胁，但 RPKI 为每一个网络提供了坚实的安全基础，使互联网保持开放和安全。
常见问题解答
1. RPKI 是什么？
RPKI 是一种安全机制，使用数字证书来证明某个网络拥有某块 IP 地址，并且说明哪个网络可以宣告该地址。
2. 为什么 RPKI 对路由安全很重要？
它可以阻止错误或伪造的路由公告，避免流量被劫持或导致网络中断。
3. 谁来管理 RPKI 证书？
全球五个区域互联网注册机构（ARIN、RIPE NCC、APNIC、AFRINIC、LACNIC）负责签发并管理各自区域内的证书。
4. RPKI 会取代其他安全工具吗？
不会。RPKI 是对其他安全措施的补充，例如安全域名系统（DNSSEC）和加密连接，但不会替代它们。
5. RPKI 部署难吗？
需要一定的规划和技术技能，但各注册机构提供的工具和指南让大小运营商都可以较为容易地完成部署。