摘要

  • OpenBSD 8.0 于 10 月 20 日发布，说明中称 rpki-client 已能正确地对 BGPsec 路由器证书应用信任锚约束。
  • 本地约束能收紧单个验证方接受的资源范围。它不会替其他验证方作决定，也不会阻止信任锚发布对象。

围栏多了一道门

OpenBSD 8.0 发布页用一句话记录这项改动：正确地对 rpki-client(8) 的 BGPsec 路由器证书应用约束。详细变更记录也列出了同一项修正。新版本于 10 月 20 日发布。

这句说明碰到的是实现边界：软件里有“约束”功能，不代表每种证书都走过同一把检查尺。BGPsec 路由器证书把密钥与路由器使用 BGPsec 所需的资源联系起来。OpenBSD 的记录确认，rpki-client 现在会对这一类证书正确执行约束检查。发行记录没有写明受影响的旧版本或事故；它明确写下的是代码修正。

这项修正对应 IETF SIDROPS 工作组的草案 《Constraining RPKI Trust Anchors》。当前 -02 版提出，由 RPKI 依赖方（RP）在本地写明自己预期信任锚（TA）签发的资源范围。验证方把终端实体证书上的 IP 地址和 AS 资源与本地允许集合比较。超出范围的证书会在该 RP 对相应签名对象的验证中被拒绝。

“全部资源”是一张很宽的授权书

草案称，五家区域互联网注册机构（RIR）在日常运作中都会在 TA 证书下列出全部资源。如此设置可以降低注册信息短暂不一致时造成验证失效的风险，尤其是资源转移期间。另一面是，RP 看到的签名权限可能宽于注册机构当前持有的资源。

本地 .constraints 文件让 RP 多了一道判断。每个文件按同名 .tal 对应一个信任锚。运营者可以允许前缀、地址段和 AS 号码，再用 deny 切出例外。拒绝规则优先；没有被 allow 覆盖的资源默认拒绝。要排除一个地址段，不必先把整个互联网写成白名单——至少这点，格式算是替值班人员省了手工活。

语法错误的代价则很直接：草案要求 RP 拒绝整份约束文件，并且不得用它检查终端实体证书。文件修好以前，这个 TA 的本地约束层就没有发挥过滤作用。语法校验、软件包分发和更新责任因此都属于安全控制的一部分。

这项检查的适用范围有明确边界：ROA、ASPA、RSC 和 BGPsec 路由器证书等，必须通过 RFC 3779 扩展显式列出 IP 或 AS 资源的对象。草案把签名 TAL 和 Manifest 列作不适用的例子，因为它们使用继承资源。这里收紧的是单个 RP 的验证结果；路由器是否据此采用某条路由，还要经过后续数据接口和本地路由策略。

代码早于标准定稿

这个 -02 仍是活跃的 Internet-Draft。Datatracker 显示 SIDROPS 状态为“Waiting for Write-Up Revised I-D Needed – Issue raised by WGLC”。草案也说，正式发布为 RFC 前会删去实现状态附录。

机制已经进入软件。附录称，C 语言版 rpki-client 自 2023 年起默认启用该方法，并列出 Rust 版 panda-rpki 和 Go 版实现。作者表示，三个实现用 OpenBSD 的 fixtures 得出了相同结果。IETF 同时明确：这些实现信息由贡献者提供，IETF 没有核实。因此它记录的是已报告的代码和一套共同测试输入，不能当成独立互操作审计。OpenBSD 手册已说明按 TA 配置 .constraints，并使用本地 allow、deny 规则。

8.0 的修正确认了一件事：成熟功能也可能有一类证书没被按预期处理。公开发行说明没有列出旧版本范围和具体代码路径；这两项会改变我们对既有部署风险的估计。已知的部分足够具体：OpenBSD 在 8.0 修正了 BGPsec 路由器证书的约束应用。测试清单应按对象种类展开，功能名称本身无法证明覆盖完整。

一个小文件，可能晚半年到用户手里

草案建议，把约束文件随操作系统或第三方软件包发布的维护者，按用户可能延后六个月更新来规划。RIR 政策和资源持有情况会变化，本地约束必须跟上自己承诺执行的范围。旧 allow 清单可能拒绝后来变为合法的资源；缺少或不完整的规则则可能放行超出运营者预期的资源。

NRO 2026—2028 战略把交付 Trust Anchor Constraints 文档列为计划中的 RPKI 工作。NRO RPKI Program 在 2025 年的目标中也写过，要就信任锚配置问题形成方案并向社区征询意见。制度流程还在推进，OpenBSD 8.0 则给出另一种证据：已有验证器正在调整本地约束的覆盖范围。

网络运营者需要核对的事项并不抽象：文件是否表达预期资源范围，是否对应正确的 TAL，软件更新是否带上新版本，格式是否能成功加载，以及所有实际使用的签名对象证书是否都经过约束检查。OpenBSD 的这条发行说明让最后一项再也不适合塞进脚注。

来源