摘要

  • RIPE NCC 在 RIPE 93 路由工作组承认，一些没有资源的 CA 已不出现在 RPKI 验证器里，但其部分内容仍留在发布服务。
  • 这些残留让依赖方下载额外数据；清理仍在进行，公开发言没有给出数量或字节规模。

验证器的屏幕很干净，下载账单却未必干净。这是 RIPE NCC 在 10 月 28 日披露的 RPKI 小麻烦：一些 CA 已经没有资源，验证器根本不会显示它们；发布服务却还留着相关内容，依赖方照样要取回一部分数据。

RIPE 93 的记录里，RIPE NCC 工程师 Tim Bruijnzeels 把这件事放在委派 CA 工作进展之后说出。他明确表示清理还在继续。被验证器忽略，与不再由仓库交付，是两项不同的操作；前者不能替后者签收。

RIPE NCC 的 Publish in Parent 服务条款把仓库定义为向用户提供证书、吊销列表和 RPKI 签名对象下载的公开地点。仓库负责送货，验证器负责判断。没有资源的 CA 不再贡献可见的验证结果，并不会自动抹掉已发布文件。

Bruijnzeels 同场还报告，RIPE NCC 在 9 月依照90 天失效 CA 政策撤销了 35 个长期失效的委派 CA；他没有说如今的无资源残留就是这 35 个的文件。撤销证书解决一种状态，清理发布物解决另一种负担。

目前缺的是两张表：残留对象清单，以及清理前后的下载字节数。它们能给成本定量。现有一手记录已足以确认，依赖方确实仍在为无资源 CA 的残留内容下载额外数据。