Кратко

  • Сертификат маршрутизатора BGPsec связывает один или несколько номеров AS с открытым ключом, соответствующий закрытый ключ которого может подписывать обновления BGPsec; он не разрешает этим AS объявлять префикс от своего имени.
  • ROA содержит отдельное утверждение о связи префикса с AS-источником; контроль закрытого ключа, его развёртывание на маршрутизаторе, доставка данных из проверяющего кэша маршрутизатору, экспортная политика и наблюдавшееся подписанное обновление остаются самостоятельными фактами.
  • Полезный операционный журнал хранит для каждого факта издателя, срок действия и время наблюдения, не сводя всё к отметке «RPKI валиден».

Различие невелико в синтаксисе, но существенно по последствиям. RFC 8209 описывает сертификат конечного субъекта для маршрутизатора, основная функция которого — безопасная привязка номеров AS к открытому ключу. RFC 8205 использует этот ключ для подписей пути BGPsec. ROA выражает другое утверждение: конкретной AS разрешено быть источником конкретных IP-префиксов.

Подпись отвечает на ограниченный вопрос: подписал ли владелец соответствующего закрытого ключа защищённое маршрутное объявление от имени указанной AS? Она не отвечает, было ли этой AS разрешено в тот момент объявлять префикс от своего имени, разрешала ли локальная политика экспорт и видели ли все системы одинаковые проверенные данные одновременно.

У сертификата есть собственный жизненный цикл. Расширение AS Resources задаёт перечень AS, от имени которых может действовать ключ. RFC 8209 отмечает: если сертификат охватывает несколько AS и одна из них удаляется из вышестоящего сертификата CA, весь сертификат маршрутизатора становится недействительным. Отдельный сертификат для каждой AS снижает такую связанность, но увеличивает число объектов и ротаций.

Поэтому в журнале доказательств следует разделять выдачу и отзыв сертификата, область AS, владение и развёртывание закрытого ключа, доставку проверенного ключа маршрутизатора, состояние ROA, локальную экспортную политику и подписанное обновление, фактически наблюдавшееся у соседа. Их временное соединение создаёт объяснение; ни одна запись не заменяет его целиком.