深入淺出詳解RPKI

第1章 RPKI簡介 1
1.1 背景 1
1.1.1 技術起源 1
1.1.2 自治系統和路由劫持 2
1.1.3 互聯網號碼資源分配架構 4
1.2 RPKI概述 6
1.2.1 技術規范 6
1.2.2 標准兼容性 6
1.2.3 工作原理 7
1.3 重要概念 8
1.3.1 資源公鑰基礎設施 8
1.3.2 認證中心證書 9
1.3.3 終端證書 9
1.3.4 依賴方 10
1.3.5 信任錨點 10
1.3.6 簽名對象 10
1.3.7 路由源授權 11
1.3.8 清單 11
第2章 RPKI總體架構 12
2.1 RPKI證書 12
2.1.1 概述 12
2.1.2 CA證書 13
2.1.3 EE證書 14
2.2 RPKI簽名對象 15
2.2.1 路由源授權 15
2.2.2 清單 17
2.2.3 證書撤銷列表 18
2.3 RPKI資料庫 19
2.3.1 定義 19
2.3.2 使用規則 19
2.3.3 訪問控制 22
2.4 本地緩存 23
2.5 信賴錨 24
2.6 操作規范 24
2.6.1 證書簽發 24
2.6.2 密鑰輪轉 25
2.6.3 路由源授權管理 26
2.7 安全及部署 31
第3章 RPKI證書策略 32
3.1 資源授權和證書政策 32
3.1.1 證書分類和互聯網號碼資源授權 32
3.1.2 證書政策管理 34
3.1.3 證書命名政策 34
3.1.4 證書相關方 35
3.1.5 證書發布政策 36
3.1.6 證書使用范圍 38
3.1.7 重要定義及其縮略語 38
3.2 證書相關信息驗證 40
3.2.1 私鑰所有權驗證 40
3.2.2 用戶身份認證 40
3.2.3 撤銷請求認證 41
3.2.4 密鑰重置請求認證 41
3.2.5 無須驗證的信息 42
3.2.6 互操作 42
3.3 證書相關操作 42
3.3.1 概述 42
3.3.2 操作申請處理 43
3.3.3 證書簽發操作 44
3.3.4 證書發布通知 44
3.3.5 證書使用規則 44
3.3.6 證書更新操作 45
3.3.7 證書更新同時更換密鑰操作 46
3.3.8 證書修改操作 47
3.3.9 證書廢止 47
3.4 操作安全保障 49
3.4.1 物理安全保障 49
3.4.2 流程安全保障 50
3.4.3 人事安全保障 50
3.4.4 日志安全保障 50
3.4.5 其他保障 51
3.4.6 漏洞評估和密鑰更換審核 52
3.4.7 CA終止保障 52
3.5 證書密鑰生成和安全保障 52
3.5.1 密鑰生成 52
3.5.2 密鑰交付 53
3.5.3 密鑰安全管理 54
3.5.4 密鑰時間戳 54
3.5.5 小結 55
第4章 RPKI資源證書詳解 56
4.1 規則概述 56
4.2 RPKI證書格式和規則 57
4.2.1 版本號 57
4.2.2 序列號 57
4.2.3 簽名結構 58
4.2.4 簽發者 58
4.2.5 主題 58
4.2.6 有效期 58
4.2.7 主題公鑰信息 59
4.2.8 資源證書擴展項 60
4.2.9 私鑰格式 65
4.2.10 簽名格式 65
4.2.11 附加需求 65
4.3 證書撤銷列表格式和規則 65
4.3.1 版本號 65
4.3.2 證書撤銷列表序列號 66
4.3.3 序列號和撤銷日期 66
4.3.4 其他規定 66
4.4 證書請求格式和規則 66
4.4.1 概述 66
4.4.2 證書請求標准 67
4.4.3 證書請求消息格式 68
4.4.4 證書擴展屬性 69
4.5 證書驗證格式和規則 70
4.5.1 重要定義 70
4.5.2 驗證方法和流程 71
4.6 證書設計及實例 73
4.6.1 證書設計規則 73
4.6.2 規則后續兼容 75
4.6.3 證書策略變化 76
4.6.4 吊銷風險 77
4.6.5 資源證書實例 77
第5章 RPKI簽名對象介紹 82
5.1 概述 82
5.2 算法和密鑰 83
5.2.1 算法分類 83
5.2.2 非對稱密鑰對格式 84
5.2.3 簽名格式 84
5.2.4 附加規定 85
5.3 RPKI簽名對象通用模板 85
5.3.1 簽名對象語法 85
5.3.2 簽名數據內容類型 85
5.3.3 簽名對象驗證 88
5.3.4 如何擴展成具體簽名對象 89
5.3.5 其他需要注意的事項 90
第6章 路由源授權詳解 91
6.1 內容格式 91
6.1.1 概述 91
6.1.2 內容 92
6.1.3 驗證 93
6.1.4 實例 94
6.2 驗證授權具體應用 95
6.2.1 初始AS的定義 95
6.2.2 驗證方法 95
6.2.3 驗證過程 96
6.2.4 路由選擇 97
6.2.5 授權否認 98
6.2.6 驗證結果生命期限 99
6.2.7 其他注意事項 99
第7章 RPKI清單詳解 100
7.1 概述 100
7.1.1 背景 100
7.1.2 內容 101
7.1.3 簽名規則 102
7.1.4 發布庫要求 102
7.2 RPKI清單語法和語義 103
7.2.1 清單對公用簽名對象的擴展 103
7.2.2 清單和文件哈希值算法 104
7.2.3 實例 106
7.3 清單生成和驗證 106
7.3.1 清單驗證 106
7.3.2 清單生成 107
7.3.3 其他安全考慮 108
7.4 依賴方如何使用RPKI清單 109
7.4.1 清單狀態檢測 109
7.4.2 清單缺失的情況 110
7.4.3 有效清單缺失的情況 111
7.4.4 清單版本陳舊的情況 112
7.4.5 清單與發布點信息不匹配的情況 112
7.4.6 清單與哈希值不匹配的情況 113
第8章 證書撤銷詳解 115
8.1 使用規范 115
8.1.1 概述 115
8.1.2 簽發要求 116
8.2 語義和語法 116
8.2.1 證書列表 117
8.2.2 TBSCert 列表 118
8.2.3 擴展項 119
8.3 CRL實體擴展 120
8.3.1 原因碼 120
8.3.2 無效期 121
8.3.3 證書簽發者 121
8.4 CRL驗證 122
8.4.1 撤銷輸入 122
8.4.2 狀態變量 123
8.4.3 檢測過程 123
第9章 Ghostbuster記錄詳解 126
9.1 概述 126
9.1.1 背景和定義 126
9.1.2 安全考慮 127
9.2 Ghostbuster 記錄載荷 127
9.2.1 vCard規范 127
9.2.2 CMS規范 128
9.2.3 驗證 129
9.3 IANA事項 129
9.3.1 對象標識符 129
9.3.2 文件擴展名 130
9.3.3 媒體類型 130
第10章 IANA簽名對象詳解 131
10.1 概述 131
10.1.1 背景介紹 131
10.1.2 AS 0 ROA 132
10.1.3 告知對象 132
10.1.4 簽發要求 132
10.2 特殊號碼資源介紹 133
10.2.1 保留的號碼資源 133
10.2.2 未分配的號碼資源 134
10.2.3 特殊用途的號碼資源 135
10.2.4 多播號碼資源 135
第11章 RPKI資料存儲系統 136
11.1 概述 136
11.2 RPKI資料庫發布點內容和結構 137
11.2.1 概述 137
11.2.2 清單 138
11.2.3 CA資料庫發布點 139
11.3 資源證書發現資料庫注意事項 141
11.4 證書重簽發和資料庫 142
11.5 使用本地緩存同步資料庫 142
11.6 資料庫安全 143
第12章 信任錨點及其定位器 144
12.1 信任錨點及其發布 144
12.1.1 信任錨點的定義 144
12.1.2 信任錨點的發布流程 145
12.2 信任錨點定位器 145
12.2.1 定義 145
12.2.2 語法和語義 146
12.2.3 實例 147
12.3 TAL的使用和安全事項 147
12.3.1 檢索和驗證步驟 147
12.3.2 安全相關 148
第13章 RPKI應用場景介紹 149
13.1 概述 149
13.1.1 基本定義 149
13.1.2 基本策略 151
13.2 完全部署RPKI的應用 152
13.2.1 單公告的情況 152
13.2.2 聚集且更具體前綴的情況 152
13.2.3 聚集且來自不同ASN更加具體前綴的情況 153
13.2.4 子分配到多宿主客戶的情況 154
13.2.5 限制新分配的情況 155
13.2.6 限制新申請ASN的情況 156
13.2.7 部分限制的情況 156
13.2.8 限制前綴的長度 157
13.2.9 對子分配前綴長度進行限制 158
13.2.10 上游服務商發起聚集的情況 159
13.2.11 上游服務商發起非法聚集的情況 161
13.3 部分部署RPKI的應用 163
13.3.1 雙親節點不參與RPKI