摘要

  • RIPE NCC宣布，AS号码持有者可通过其RPKI API创建和管理BGPsec路由器密钥证书。
  • 证书负责授权密钥，路径验签还需实际启用BGPsec的路由器与对等会话。

证书窗口开了，带着合适路由器来的人还不多。RIPE NCC的RPKI工程师Tim Bruijnzeels在10月22日的公告中确认：RPKI API已支持创建、管理BGPsec路由器密钥证书。他同时指出，硬件路由器支持落后，渐进部署和性能仍是难题。次日会员更新再次介绍这一功能。登记机构补上发证能力，网络是否真正验签还要看设备。

RFC 8209规定了证书形式：把路由器公钥与自治系统号码绑定，持有对应私钥的路由器便可代表该AS签署安全路由通告。在启用BGPsec的会话里，另一端的兼容路由器可以核对AS路径有没有被改动。ROA与起源验证处理“谁能宣布这个前缀”，ASPA处理提供者关系，BGPsec盯的是路径本身。三把锁各管一扇门。

RIPE NCC公开的API文档把控制权落到了操作上：拥有RPKI权限的LIR API密钥可以提交PKCS#10证书请求、列出路由器密钥、取回证书及证书链，并按标识撤销密钥。同一个AS可使用多把密钥。文档示例使用的是RPKI pilot主机；官方公告没有给出全网使用数量。这是核对上线范围时应读到的两条原始信息。

发证由RIPE NCC承担；持有者要管理密钥和配置路由器；相邻网络还要在会话中启用验证。接口把第一环接通了，后两环掌握在运营者手里。下一份有价值的证据将是实际证书、兼容设备和启用会话的记录。