摘要

  • 路由源授权（ROA）并非独立声明。只有通过植根于 RIR 信任锚的有效证书路径，它才会被接受。父 CA 可签发、替换、缩小或撤销其下的证书，而运营商的 ROA 就在该证书下签名。
  • 注册与认证刻意保持对齐。这使得加密声明反映当前的资源记录，但也意味着转让决定、合同状态错误、法院命令或账户操作都可能改变依赖方看到的路由授权集合。
  • 撤销并不会向全球路由表发出指令。丢失的 ROA 可能导致某条宣告变为 NotFound，而变更或竞争的授权则可能使其变为 Invalid。网络随后应用各自的路由策略。其影响是分布式的、可变的，且可能相当严重。
  • 2020 年 12 月 RIPE NCC 的遗留资源事件揭示了传播机制：合同状态的错误导致证书范围缩小、托管 ROA 被删除，并使委派 ROA 消失或超范围声明。这证实了真实控制路径的存在，而非证明普遍故障率。
  • 委派 RPKI 让运营商拥有自己的签名密钥，并对其子 CA 实施操作控制。但这并未移除 RIR 父级。父级仍决定认证资源集，并可在规定条件下撤销子证书。
  • 更强健的治理应包括前瞻性撤销理由、基于风险的通知、机器可读的变更预览、先建后断的转移计划、紧急恢复、书面理由、独立审查以及公开的事件会计处理。责任排除不应取代预防和补救。
  • 资源号协会（Number Resource Society）可通过比较父 CA 规则、发布连续性检查表，以及在技术政策辩论中代表小型持有者等方式，做出建设性贡献。但其倡导本身并不赋予证书颁发机构的权力，也不证明存在替代的信任安排。

决定性数据包在远离注册局的地方被评估

设想一条来自运营商自治系统的普通前缀宣告。运营商已正确配置 BGP。其转接提供商接收该路由。然而，在其他地方，依赖方验证器已获取 RPKI 材料，构建了一组已验证的路由源授权（ROA），并将生成的 payload 传递给路由器。这些路由器将该前缀和起源 AS 与 payload 集合进行比较。宣告结果可能是 Valid（有效）、Invalid（无效）或 NotFound（未找到）。每个网络随后应用自己的策略。

注册局并不直接处于数据包路径中。它无法按下一个按钮就从所有路由器中撤销路由。然而，它位于该分布式决策所依赖的加密证据之上。如果通往运营商 ROA 的证书路径停止验证，该 ROA 将不再提供有效 payload。若仍有其他覆盖授权存在，该路由可能变为 Invalid。若无任何剩余授权，通常会变为 NotFound。拒绝 Invalid 路由的网络会拒绝该宣告；接受 NotFound 路由的网络可能继续承载它。

这一序列正是关键的机制。管理事件发生在父 CA 层面。存储库分发变更后的对象。验证器刷新本地视图。路由器收到新的验证数据。独立网络策略将这些数据转化为可达性后果。

此链条中的缺口和缓存至关重要。不同验证器刷新的时刻不同。运营商可在存储库出问题时保留数据。路由器策略并非统一。没有可靠依据声称一次证书事件就能立即让某个前缀在所有地方断开连接。同样，也几乎没有依据将撤销视为无害的文书编辑。该架构的设计初衷便是让加密状态能影响路由。治理必须认真对待这种影响，同时不夸大其一致性。

运营商的签名是有条件的

RPKI 引人入胜的故事在于持有者控制。地址持有者通过创建 ROA 来授权起源 AS。密码学使其他人可以验证该声明来自与已认证资源相关联的密钥。这是对路由系统的一种宝贵修正，因为 BGP 宣告原本不携带任何内置的起源授权证明。

但持有者的密钥并非至高无上。RFC 6480 描述了一个与互联网号码资源分配一致的层级结构。资源证书将公钥绑定到 IP 地址块和 AS 号码。签名对象的有效性取决于通向选定信任锚的认证路径、证书有效性、撤销信息以及每一层所允许的资源范围。

使用委派 CA 的运营商控制该子级的私钥。父级无法使用该密钥伪造子级的签名。这一区别意义重大。它保护了运营商自身签名操作的完整性，并允许本地自动化、子委派以及密钥管理选择。

父级保留着另一种权力。它可以签发子证书、更改替换证书覆盖的资源范围，或将证书放入撤销列表。由父级路径不再支持的有效资源所覆盖的子级签名，无法通过数学上的坚持使自己变为有效。父级无需拥有子密钥即可使子级的断言失去效力。

托管 RPKI 进一步压缩了这种区别。RIR 代为运营持有者的 CA，并将私钥存储在其基础设施中。持有者通过门户或界面选择路由意图，而服务则执行签名、续期和发布。由此产生的 ROA 或许准确表达了持有者的指令，但密码保管权和父级权限都位于同一个机构内。因此，便利性改变了控制权的分配，而不仅仅是减少了技术工作量。

注册真实性成为密码学范围

RPKI 并非偶然地与 RIR 记录关联在一起。其核心承诺正是证书反映当前号码资源的委派状态。APNIC 的认证实践声明对此安排有清晰解释：签发证书的组织同时也是执行委派的组织，因此对该绑定具有权威性。RIPE NCC 的文档指出，其资源证书与已注册组织相关联，并在资源被添加、退还、移动或转移时自动更改。

这种对齐防止了前持有者在合法转移后无限期地依赖旧证书。它让接收方能够建立新的授权，并允许依赖方拒绝过时的声明。如果没有一个能够更新范围的父级，RPKI 将以牺牲当前注册为代价，来保护旧的路由意图。

同样的对齐也使管理记录获得了第二生命。注册系统中的名称、状态或合同关系，不再仅仅用于回答谁在接受服务或 RDAP 中显示什么。它可以决定哪些前缀进入资源证书。该证书决定哪些签名对象能够通过验证。从注册到路由证据的这条路径是有意为之的。

治理问题不在于是否切断这条路径。那样做会违背资源认证的初衷。问题在于，当路径的起点发生错误和自由裁量行为时，如何加以约束。如果一项资源在完成转移后被移除，原持有者的授权应当终止。但如果由于临时的账户不匹配、有争议的发票或错误的法律分类，在没有充分保障措施的情况下导致相同的结果，那么安全机制就将一个行政缺陷传递到了更具后果的层级。

准确修正与过早执行之间的区别，必须在撤销发生之前就做出。密码学可以证明父级签署了新证书，或已将旧证书列入 CRL。它无法证明员工正确解读了合并案、通知到达了正确的主管、制裁匹配结果是可靠的，或者有争议的转移理应立刻生效。这些都是围绕签署行为产生的制度性问题。

撤销并非只有一种结果

“撤销”一词暗示着一个单一的开关。路由的结果则更具条件性。RFC 6811 定义了三种路由起源验证状态。当没有任何已验证的 payload 覆盖某条路由时，该路由为 NotFound。当至少有一个 payload 覆盖并匹配该路由时，则为 Valid。当至少有一个 payload 覆盖它，但没有一个匹配时，则为 Invalid。

假设持有者为某个前缀拥有一条精确的 ROA，而证书路径消失了。一旦验证器停止接受该 ROA，可能就不再有任何覆盖的 payload。该路由于是从 Valid 变为 NotFound。许多网络会接受 NotFound，因为 RPKI 部署尚不完整，拒绝每条未经认证的路由仍然具有破坏性。因此，直接效果可能是失去了验证保护，而非失去可达性。

现在假设在另一个 CA 下仍存在一条更宽泛的有效 ROA，或者一条替代授权以不同的起源或最大长度覆盖了该前缀。该路由可能变为 Invalid。拒绝 Invalid 路由的网络可能会丢弃它。其他网络可能降低其优先级、将其标记为监控对象或予以接受。RFC 7115 将最终策略留给了本地；验证状态为路由提供信息，而不是规定一个统一的响应。

这种可变性并非自满的理由。一条路由并不需要在所有地方都消失才会造成实质性损害。大型转接提供商、云网络、公共部门对等方或内容平台的选择性拒绝，可能导致访问碎片化。变为 NotFound 的前缀会失去客户可能依赖的保证。运营商也可能面临迫切需求，需要在缓存以不同速度收敛期间，在新证书下重新创建 ROA。

因此，治理语言应当避免两种错误。它不应说 RIR 直接控制着每一条路由。也不应声称证书变更只影响一个可选的安全标签。父级控制着许多自治网络决策的一项输入。最终行动的分布式特性，既没有减轻父级的注意义务，也没有削弱运营商对连续性规划的需求。

这一设计选择在广泛运营使用之前就已出现

现代的架构是在多年间逐渐形成的。RIR 和 IETF 的工作早于 2012 年主要 RPKI 架构文档的发布。一项编号为 2008-08 的 RIPE 政策提案曾辩论证书应如何反映已注册资源，并声明证书将始终反映注册状态，尽管该提案后来被撤回。APNIC 在 2009 年即已报告资源认证工作。这些不仅仅是关于更好加密的讨论。它们涉及的是由哪个机构来证明资源控制。

生产服务大约在 2011 年登场。RIPE NCC 在该年年初推出了托管资源认证服务，最初功能有限。其发布公告将该服务描述为使注册局更健壮、路由更安全的一种方式。同年晚些时候，它提供了本地认证概念验证，运营商可以以 RIPE NCC 为父级运行自己的 CA。LACNIC 记录显示托管服务始于 2011 年 1 月，委派服务则始于 2019 年 12 月。各地区的时机和能力有所不同。

2012 年发布的核心 IETF 文档在纸面上清晰地分离了各项功能。RFC 6480 描述了架构。RFC 6482 规定了 ROA。RFC 6483 解释了路由起源验证。RFC 6492 规定了用于子 CA 请求证书以及父级签发或撤销证书的交换协议。后续工作增加了发布协议，并对不利的 CA 行为进行了分析。

制度上的解决方案是务实的。RIR 已经维护着资源记录、认证持有者并协调唯一性。将它们置于资源证书之上，避免了创建一个无关的全球产权机构。托管服务降低了那些不愿运行 CA 或存储库的运营商的准入门槛。委派则为需要更强密钥控制的组织保留了一条路径。

这一解决方案值得肯定。但它也值得定期的宪法式审视。一项最初作为可选安全服务的功能，现在正为越来越多的网络和自动化系统提供证据。随着依赖性的增长，为实验而编写的服务条款，对于其错误可能改变可达性的基础设施而言，可能会变得不足。检验的标准不在于最初的设计是否恶意，而在于治理是否已经随着运营后果一起成熟。

父 CA 不仅仅是技术中继

RFC 6492 为父子系统提供了一种标准语言，用于列出资源、请求签发和请求撤销。它并不决定为什么父级认为某资源应被纳入、转移是否已完成，或者在非自愿变更之前应遵循什么程序。该协议忠实地传递着在别处做出的决定。

这在基础设施领域很常见。技术标准定义了命令如何被认证和表示。它们不提供允许发送该命令的机构的全部公法。一个有效签名的撤销仍然可以是过早的、错误的或程序上不公平的。反过来，父级也可能有义务撤销，即使运营商希望延迟，例如在确认的泄露或已完成转移之后。

因此，RIR 至少扮演着三个相关的角色。它维护注册信息。它决定其认证服务将证明的资源范围。它运营或充当父级，运营着将这些范围转化为密码学对象的 CA。在托管服务中，它可能还持有用户的私钥并发布用户的签名对象。

角色的集中能够提高一致性。当转移结束时，一个机构可以更新记录、替换证书并帮助各方构建新的授权。它也能放大错误。一个错误的状态变更无需等待另一个组织采取行动；自动化可能会直接将其带入证书签发和存储库状态。

治理应当与这种集中化的角色相匹配。父级应当记录注册事件与证书事件之间的映射关系。它应区分哪些变更可以自动发生，哪些需要人工确认。它应明确谁可以授权紧急撤销、双重控制如何运作、保留了哪些证据，以及运营商如何质疑一项错误。认证实践声明可以描述技术实践；服务条款和社群政策也必须界定决定的合法性。

2020 年的一次事件揭示了传播路径

2020 年 12 月 17 日，RIPE NCC 报告了一起涉及遗留资源的错误。在实施一项不相关的注册表项时，一个编程错误将受影响的遗留资源的合同状态设置为“无”。这些资源随后变为不符合认证资格。

后果沿着层级传导。36 个 CA 的资源证书被更新，包含的可认证资源减少。来自 24 个 CA 的 41 个托管 ROA（产生 202 个已验证 payload）被删除。颁发给受影响委派 CA 的证书缩小了；根据其软件的不同，它们的 ROA 要么消失，要么因超范围声明而被拒绝。RIPE NCC 恢复了 105 个受影响资源的合同状态，并重新创建了托管 ROA。建议委派运营商检查是否需要重新创建自己的 ROA。

这些数字应被限制在该事件之内。它们并未确立一个年度错误率、一个全局分母或对 RIR 的比较性故障衡量标准。事后分析也未能证明每条受影响的路由都变得不可达。验证状态和网络策略决定了该结果。

该事件所证明的是这个机制。注册环境中一个合同状态的错误，传播到了证书范围和路由授权材料中。托管和委派用户经历了不同的恢复义务。RIR 可以重新创建其运营的托管 ROA，而委派持有者可能需要在各自的 CA 内采取行动。

RIPE NCC 表示将改进质量保证、验收测试和基于风险的影响分析。这些都是明智的措施。更广泛的教训是，靠近注册到证书边界的变更，应得到与路由器平台变更同等的关注。测试应包括预期的证书差异、ROA 和已验证 payload 的影响、转移效果、委派客户端行为以及恢复路径。一项看似行政性的注册变更，可能具有密码学的爆炸半径。

转移是最困难的常见情形

紧急泄露虽然戏剧化，但转移才是反复出现的治理考验。注册局必须停止对原持有者的认证，并开始认证接收方。路由可能需要在整个过程中持续运作。起源 AS 可能保持不变、一次变更或分阶段变更。卖方、买方、经纪人、转接提供商和 RIR 可能各自控制着序列的不同部分。

RIPE NCC 的指引指出，当资源被移动或转移时，已注册组织和证书会发生变化；底层的 ROA 会被移除，必须重新创建。其托管文档还指出，资源会根据注册持有情况的变化自动添加到证书中或从中移除。这种行为保护了接收方免受原持有者过时声明的影响。它造成了一种割接依赖关系，应被视为交割的一部分。

高质量的转移计划应在注册局更新之前就开始。各方应清查每一条 ROA 和实际宣告，包括更具体的路由、多个起源以及临时的缓解提供商。他们应就交割后必须存在哪些授权、由谁创建、如何确认对接收方 CA 的访问权限以及如何观察验证器达成一致。RIR 应提供机器可读的预览，说明哪些内容将被移除以及接收方可以创建什么。

原则是尽可能实现“先建后断”。只要架构允许，传出授权应保持有效，直到传入授权被发布且可检索，除非安全或法律要求立即移除。当区域系统无法支持重叠认证时，该限制应明确说明，并且割接应具有经过测试的回退或加速恢复路径。

并非所有重叠都是安全的。为相同资源认证两方可能造成竞争性声明，或扩大原持有者的权力。然而，一个有边界的过渡可能比一个未经预告的缺口更安全。政策设计必须规定持续时间、允许的对象、批准、监控以及自动过期。转移连续性并非请求无限期保留过时权利；它是请求在可避免路由损害的前提下，对有效权利进行有序排列。

通知必须尽可能在密码学事件之前到达

传统的通知往往是一封说明账户状态已更改的电子邮件。当事件可能改变证书范围时，这过于薄弱。消息可能送达账单联系人，而非路由安全团队。它可能描述合同问题，却不列出面临风险的前缀、证书或 ROA。它可能在自动化系统已经采取行动之后才到达。

通知应基于风险。已确认的私钥泄露可能证明立即撤销是合理的，随后进行快速通知和替换。已完成的、自愿的转移则遵循商定的时间表。有争议的付款、制裁匹配、可疑的政策违规或不确定的企业继承，通常允许有一个警告期，除非存在具体威胁要求紧急处理。

对于非紧急行动，运营商应收到一份精确的预览：受影响的资源、当前证书标识符、预计将停止验证的签名对象、生效时间、原因、授权方、可用的纠正措施以及复审路径。该预览应在门户中以签名、机器可读的形式提供，以便大型运营商能够将其与路由意图进行比较。

投递应使用独立维护的运营和法律联系人信息，而不仅仅是可能存有争议或已泄露的账户凭证。应记录收悉确认，但缺乏确认不应构成无限制的否决权。升级可以通过重复渠道和公布的时间表进行。

通知期应支持纠正。如果注册局附加了错误的组织、误读了合并文件或匹配了错误的受制裁方，工作人员必须能够在审查证据期间暂停非紧急行动。如果行动是正确的，运营商则可获得时间，为验证状态的变更准备新的 ROA 或通知客户。

良好的通知并非承诺每条路由都保持 Valid。它是行政权力与网络运营之间一次有纪律的交接。它减少了意外，创建了证据记录，并使事后的问责成为可能。

理由与审查是安全控制措施

机构有时将正当程序视为对技术安全施加的延迟。在此处，它是安全的一部分。一个能够迅速撤销的父级，需要控制措施来防止账户接管、内部人员错误、虚假法律声明以及被误解的注册变更。书面理由和独立审查迫使决定必须与证据和权限挂钩。

撤销理由应是前瞻性的和有限的。例子包括已确认的密钥泄露、持有者请求、证书与已完成的注册变更不一致、相关服务关系到期、具有约束力的法律命令、经证实的欺诈，或者委派 CA 在公布的政策下持续失效。像“运营原因”这样的宽泛措辞，应附带阈值、批准角色和恢复义务。

审查必须符合时间尺度。一项在数月后裁决的常规申诉，无法保护今天下午发生的路由割接。第一层应是由不负责最初行动的工作人员进行的快速技术和注册检查。第二层可以考虑合同或政策争议。当持续认证造成严重风险时，紧急行动可能在审查期间继续生效，但机构应解释原因。

审查员需要的不仅仅是当前记录。他们应能看到事件历史：谁更改了注册状态、适用了哪条规则、产生了什么样的证书差异、发送了哪些通知、获得了哪些批准，以及存在哪些恢复选项。在安全和隐私允许的范围内，运营商应获得尽可能多的这类推理信息。

匿名决策类别的公布可以提高一致性。成员可以看到紧急和非紧急理由的使用频率、错误被恢复的速度，以及区域政策是否产生了反复出现的转移缺口。在事件罕见的情况下，汇总报告不应捏造精确性，但沉默会使社群无法评估集中化的权力。

委派缩小了一种依赖关系，而非层级

委派 RPKI 有时被当作对 RIR 控制权的回答。它是一个部分的答案。运营商生成并保护自己的私钥，运行其 CA 软件，并决定对哪些对象签名。它可以将授权变更与网络运营集成，在一个系统中管理来自多个父级的资源，还可能签发子证书。

这些都是重要的控制措施。托管服务门户的中断，并不妨碍委派持有者创建新的 ROA。RIR 工作人员无法使用子级的私钥来签署不同的声明。持有者可以保留自己签名的事件历史，并选择单独的发布服务。

父级仍然控制着使子级对某资源集具有权威性的证书。RFC 6492 允许父级签发和撤销证书。如果注册发生变化，父级可以提供包含更少资源的证书。如果子级继续签署旧的范围，验证器将因超范围声明而拒绝。因此，委派将签名保管权与注册权限分离开来；它并未废除注册权限。

RIPE-847 在另一种语境下明确了这一点。自 2025 年 10 月起，如果 RIPE NCC 超过三个月无法发现并验证委派 CA 的当前清单和 CRL，则在进行合理努力以发现当前材料并通知运营商后，将撤销该资源证书。该政策针对的是持续无法正常运作的 CA 及其给依赖方带来的负担，而非短暂的瑕疵。

这是一项具有治理后果的合法父级功能。委派运营商获得了控制权，也承担了责任。父级获得了撤销的理由，并且必须可预测地加以应用。监控必须避免因父级自身的可达性问题而导致的误报。通知应指明未通过的检查，并允许持有者证明有效的发布。恢复过程应被记录。

委派最好被理解为层级内的宪制性分权。它防止父级做所有事情，但并非防止其做任何事情。

存储库构成第二个控制面

证书和 ROA 必须触及依赖方。RPKI 存储库发布证书、撤销列表、清单和签名对象。RFC 8181 定义了一种协议，CA 可以通过该协议要求发布服务器发布或撤回对象。托管服务通常将 CA 和存储库操作结合在一起。委派持有者可以自行发布，或使用 RIR 的发布服务。

这一区别很重要，因为拥有签名密钥和能够分发签名对象是不同的权力。使用“在父级发布”方式的委派持有者，保留了密钥，但依赖于父级运营的存储库接受和提供其对象。自行发布的持有者获得了更多的分发控制权，但也承担了全球可用服务、最新清单、当前撤销列表以及抵御运营故障的责任。

存储库不可用并不会机械地转化为立即的路由拒绝。验证器会缓存材料，并对过期或不可用的存储库应用规则。不同的实现和本地设置可能产生不同的时间效应。但是，过时的发布可能会阻止预期的变更到达世界，而无效的清单或撤销信息可能导致一个分支被拒绝。

因此，制度图谱应当分别陈述四种控制：注册范围、父级认证、子级签名和发布。一个组织可能控制其中一项、两项或三项，而不控制全部四项。仅说明运营商拥有自己密钥的合同和连续性计划是不完整的。

同样的分离也改进了事件分析。如果一个新的 ROA 没有出现，原因可能是子级签名操作失败、供应请求被拒绝、发布请求失败、存储库同步问题或依赖方缓存问题。归咎于抽象的 RPKI，会掩盖权限和责任究竟在何处。

法院命令与制裁需要一个狭窄的桥梁

RIR 在法律下运营。法院可能裁决企业争议、命令保全或转移资产、限制账户或处理涉嫌欺诈。制裁规则可能禁止向列名人员提供服务。注册局不能仅因为路由连续性很有价值，就承诺无视具有约束力的法律义务。

危险在于，在没有界定明确的桥梁的情况下，将宽泛的法律压力转化为证书行动。一项关于公司股份的法院命令，可能并未指示 RIR 撤销资源证书。一项制裁匹配可能是模糊的。债权人主张可能仅涉及付款，而非当前路由授权的有效性。机构应识别法律行为、资源关系以及受影响最小的合规响应。

在需要立即撤销的情况下，记录应指明授权人以及为何限制通知。在允许保全的情况下，RIR 可能冻结转移，同时维持现有授权，直至法院澄清控制权。这一选择必须基于法律和政策，而非由技术人员临时决定。

跨境运营使情况复杂化。资源持有者、母公司、网络、RIR 和法院可能位于不同的司法管辖区。RPKI 并不能解决法律冲突。其密码学确定性甚至可能掩盖法律的不确定性：验证器知道哪条证书路径被接受，却不知道父级行动背后的争议是否得到了正确解决。

这也是另一个避免将路由验证作为所有权证明的原因。RIPE NCC 的条款明确否认其证书支持所有权主张。资源证书在一个协调系统内进行证明。法院可能使用或审查该证据，但证书并非普遍适用的产权契据。

责任应跟随可预防的控制

当前的服务条款往往将大量风险分配给用户。ARIN 公布的协议描述了广泛的终止权，包括基于多种合同、政府、技术和安全理由的立即终止，以及一条基于任何理由或不基于任何理由、提前十四天通知的终止途径。它还包含广泛的免责声明、弃权和豁免语言。RIPE NCC 的条款将使用风险置于持有者身上，并将责任限制在包括故意不当行为或重大过失等情形之外。

这些条款的法律效力取决于管辖法律和事实；一篇比较文章无法裁定其可执行性。然而，它们的制度信息是明确的。RIR 希望拥有灵活性，以运营一个不断演进的安全服务，而不成为在其他地方做出的每个路由决定的保险人。

这种担忧是合理的。父级无法控制远程网络是否拒绝 Invalid 路由。它不能保证每个委派存储库的可用性或持有者 ROA 的正确性。无限的间接责任可能会阻碍提供符合公共利益的服务。

但是，完全的豁免并不能很好地替代校准过的责任。风险应当跟随可预防的控制。持有者应为其提交的错误路由意图、不安全的凭证以及其运营的 CA 中的失败负责。发布提供商应按照合理的服务限制，为其明确承担的义务负责。父级则应为严重缺陷的授权、未解释地偏离公布的撤销规则、未能遵循承诺的过渡，或可避免地延迟恢复其自身错误而负责。

补救无需以巨额损害赔偿为起点。它们可以包括紧急恢复、费用抵免、资助的技术援助、证据保全、独立调查以及调查结果的公布。对于经证实的严重损失，每个区域社群可以考虑有上限的赔偿安排或保险机制。核心要点在于，掌握决定性控制权的机构不应仅在理论上承担责任。

父级行动宪章将使权力清晰可读

每个 RIR 都应在注册-认证边界发布一份紧凑的行动宪章。它不会取代技术证书政策或通用服务协议。它会告诉运营商，其认证状态可能发生什么，以及在谁的权限下发生。

宪章应对事件进行分类。自愿事件包括持有者请求的撤销、密钥滚动和转移。安全事件包括泄露和经认证的紧急请求。注册事件包括退还、转移和更正后的委派。合规事件包括制裁、法院命令和合同终止。运营事件包括持续无效的委派发布。

对于每个类别，宪章应说明证据门槛、通知期限、批准人、是否提供了“先建后断”、预期的路由安全影响、复审路径、恢复目标以及保留的记录。它应解释托管用户和委派用户之间的差异。它应列出运营商可以通过哪些接口获取当前对象清单，并预览拟议的证书变更。

宪章还应界定消极权限：RIR 不会通过 RPKI 决定什么。父 CA 不应使用撤销来惩罚合法的政策批评、了结与服务无关的私人债务、在竞争性网络架构之间做出选择，或授予财产权。如果区域政策授权采取更广泛的行动，该权限应是明确的且可复审的。

独立审计可以测试实际事件是否遵循宪章。抽样不仅应关注密码密钥保护，还应关注注册系统触发因素的正确性。审计人员应检查授权、时机、通知和恢复情况。公开摘要可以披露类别和控制发现，而不暴露持有者的秘密。

这并不是在安全之上增加官僚主义。这是一个具有外部影响的安全服务的运行宪法。

资源号协会能在不主张密钥的情况下做什么

资源号协会公开主张准确的注册、持有者控制、参与以及减少任意干预。这些原则与父 CA 相关，因为抵御过度扩张的最强保护并非否认层级的存在，而是对层级的透明、有界使用。

资源号协会可以通过维护一个比较性的父级行动指数来做出具体贡献。对于每个 RIR，它可以记录已公布的证书替换和撤销理由、通知规则、过渡便利设施、申诉渠道、责任用语以及委派发布选项。它可以测试这些页面对于小型运营商是否易懂，并识别出那些让路由后果未被解释的条款。

它还可以发布一份转移连续性检查表，围绕对象清查、接收方准备程度、多个起源、客户委派、验证器观察和回退联系人进行构建。小型成员往往缺乏专门的公钥团队。一份中立的检查表和桌面推演，将机构风险转化为实际准备，而无需要求 NRS 运营 CA。

最后，资源号协会可以在严格的证据规则下，收集经过记录的成员经历：日期、区域服务、事件类型、通知、验证状态影响、恢复以及尚未解决的不确定性。汇总时应避免在不知道分母的情况下声称比率。其价值在于揭示反复出现的故障模式和策略缺口。

这些角色是积极但有边界的。资源号协会的章程和说明页面属于第一方的倡导。它们并不证明 NRS 是一个公认的信任锚、授权注册机构、中立裁决者或技术上更优的证书运营商。其最强有力的定位是作为层级周围的公民机构：使规则可比较，帮助持有者做好准备，并敦促区域社群将密码学权力与程序性义务联系起来。

这些反对意见很严肃但可以管控

一项反对意见是，提前通知会帮助持有被泄露密钥的攻击者。这就是为什么拟议的纪律将紧急安全行动与常规行政变更区分开来。当延迟将扩大具体威胁时，立即撤销仍可保持可用。双重授权、快速替换和事后审查可以使紧急权力更安全，而不会使其变慢。

第二项反对意见是，“先建后断”可能会认证两个声索方。有时确实会这样，而一个粗心的重叠会削弱系统。答案并不是普遍的重叠。它是一个窄幅的过渡工具，仅在注册权限、双方同意和技术限制支持的情况下使用，并带有短期失效和可见的监控。在重叠不可接受的情况下，预验证和商定的割接仍然可以缩小缺口。

第三项反对意见是，运营商已经接受了服务条款。对条款的同意并不能消除制度性的依赖。许多运营商对于其合法持有的资源，只有一个区域父级。随着客户和对等方日益看重验证，拒绝 RPKI 的能力并非一个充分的回答。成员治理应当改进条款，而不是假装这种关系是一种普通的竞争性购买。

第四项反对意见是，分布式路由系统保护用户，因为网络会自行选择策略。这确实减少了 CA 的直接控制。这也意味着损害可能是不均匀的且难以衡量。碎片化的后果强化了精确事件遥测的理由；它并不为可避免的父级错误开脱。

最后一项反对意见是关于成本。预览工具、快速审查和审计需要人员。然而，RIR 已经在运营认证、注册、转移和认证系统。在这些系统之间的接口上增加保障措施，比将每次错误视为不可预见的意外要便宜。认证服务的费用应当支持使其可信赖的各项控制措施。

测量边界，而非神话般的全球开关

问责需要衡量，但不需要捏造的全球百分比。RIR 可以按原因公布父级证书替换、紧急撤销、非紧急撤销、转移割接、恢复事件以及委派 CA 操作的数量。在样本量允许的情况下，他们可以报告通知和恢复的中位数和范围，同时隐藏会识别出持有者的细节。

技术衡量应跟踪行动是否匹配其预览、受影响的对象是否被重新创建、委派客户是否需要手动恢复，以及存储库分发是否满足宣布的目标。注册衡量应记录有多少影响证书的事件源自更正后的数据，而非计划中的持有者行动。

独立观察者可以测量可见的 RPKI 变更，但他们无法仅从公开对象中可靠地推断每种原因。缺失的 ROA 可能是故意的。证书范围的缩小可能跟随一次有效的转移。因此，公开遥测应与经审计的机构记录相结合，而不是被外部的猜测所取代。

运营商也需要自己的衡量标准。他们应维护一份关于父级关系、已认证资源、ROA、委派子级、发布点和路由依赖项的当前清单。他们应对意外的证书范围变更发出警报，并从多个实现或观察点比较已验证的 payload。他们应了解哪些客户或服务需要 Valid 状态，而不是假设每个网络都以同样方式对待 NotFound。

最有用的衡量标准是从错误的父级行动到恢复有效授权所用的时间。它同时测试了检测、联系、权限、签名和发布。低事件计数伴随混乱的恢复路径，这并非成熟的治理。

目前没有任何公开数据集支持对错误撤销或路由损失进行可靠的跨 RIR 概率估算。这种不确定性应保持可见。它是发布更好证据的理由，而不是制造慰藉的许可证。

安全权威需要程序性的脊梁

RPKI 解决了一个真实的问题。它使运营商的路由意图变得可加密验证，并为网络提供了拒绝意外或恶意起源的更强基础。层级并非隐藏在这项成就背后的尴尬缺陷。它是系统将授权与当前资源委派绑定在一起的方式。

但层级向下传递权力。RIR 父级决定了子证书可以覆盖哪些资源。托管服务还可能持有持有者的签名密钥并发布每一个对象。因此，注册更新可能成为路由验证证据的变更。2020 年 RIPE NCC 的事件表明这一路径是运作中的，而当前的区域条款和政策显示，撤销的理由和补救措施仍然各不相同。

正确的应对方式既不是放弃 RPKI，也不是假装密码学消除了制度判断。父 CA 需要前瞻性的规则、严格限制的紧急权力、有意义的通知、转移工程、快速审查、透明的事件会计以及与控制相称的责任。应鼓励采用委派 CA，只要其益处证明了其职责的正当性，但不应将其作为脱离父级关系的捷径来推销。

“运营商之上的证书颁发机构”这一表述应成为一个设计提醒。运营商可能发起路由并签署授权。另一个机构则确定该签名是否位于有效的资源链之内。当该机构准确、可预测且负责任地行动时，RPKI 会更强大。当其行政错误或不受约束的自由裁量权未被察觉地传播时，路由安全可能成为注册风险的通道。

因此，RPKI 治理的下一个阶段是程序性的，而非密码学性的。标准已经解释了证书、撤销列表、清单和 ROA 如何运作。区域社群现在必须同样清晰地阐明父级何时可以行动、连续性如何受到保护，以及当运营商之上的权威犯错时会发生什么。

来源