摘要

  • RIPE NCC 称，首批 35 个持续失效的委派 RPKI 证书机构在收到警告并获得最后修复期限后仍未恢复，因此已被撤销。触发条件是长期无法发现并验证当前清单和证书吊销列表，不是短暂中断，也不是路由通告被撤回。
  • NRO 于 2026 年 10 月发布的比较文件列出两套区域规则：RIPE NCC 为 90 天，APNIC 为 60 天。它们不是统一的全球 RPKI 标准。
  • 需要留存的运行记录包括最后一次成功验证、失败起点、通知送达、运营方回应和证书最终状态。证书机构可以重新创建，但原证书的状态无法倒退。

35 次撤销让期限变得具体

这则消息的价值在于有明确日期。RIPE NCC 在 9 月 24 日发给 RIPE 路由工作组的邮件说，机构从 6 月 9 日开始跟踪失效的委派证书机构；首批相关用户于 9 月 14 日收到警告。RIPE NCC 又留出一周修复时间，随后撤销了仍未恢复的 35 个证书机构。这个数字是 RIPE NCC 自行报告的首批处置数量，并非对区域内所有失效机构的独立普查。

对于后续个案，RIPE NCC 公布了一套连续步骤：第 7、30 和 60 天向登记用户发出通知；若超过 90 天仍未恢复，则撤销证书。RPKI 控制面板也增加了诊断信息。政策因此不再只是“长期失效后可以撤销”的原则，而成为运营方能够逐项核对的时间表。

90天究竟在测什么

RIPE-847 对触发条件作了限定：如果 RIPE NCC 超过三个月无法发现并验证委派证书机构当前的清单（Manifest）和证书吊销列表（CRL），就必须撤销其资源证书。规则还要求合理努力去发现新的清单，并在当前数据无法验证时通知运营方，在撤销时再次通知。

清单列出证书机构发布的已签名对象；CRL 记录已撤销的证书。验证器需要及时且可验证的发布数据，才能使用这条资源 PKI 分支。这里的“失效”不等于所有访问路径都必须一直稳定。RIPE 的政策说明区分了长期过期或不可访问的发布点，以及某一种传输方式失效、但仍可经其他途径取得并验证当前清单的情况。

因此，90 天不是所有服务中断的通用倒计时，而是针对一种持续失效状态的清理规则。RIPE 的分析认为，数月没有当前清单和 CRL 时，相关对象早已过期。它没有声称撤销本身会提高路由安全，也没有说一次短暂故障会立刻使所有路由授权失效。现有材料没有量化验证器工作量的变化，也没有证明路由接受结果因此改变。

一份比较表，两种区域期限

NRO 于 10 月 9 日发布的《2026-Q3 RIR 政策比较》把 RIPE NCC 的 90 天与 APNIC 的 60 天放在同一页。PDF 明确称该文件是供参考的比较，不是各 RIR 的共同政策声明；它只保证在发布日准确，并可能被后续实施状态超越。实际要求仍应以相应区域的政策及服务状态为准。

APNIC 的 prop-166 同样针对长期无法发现、验证当前清单或 CRL 的委派（自托管）证书机构。其影响分析采用 60 天，理由是日历月份长短不一。该提案在 APNIC 60 达成共识，2025 年 12 月得到执行委员会认可；APNIC 61 的材料随后将技术实施标为完成。RIPE NCC 的独立政策则采用三个月，并按 90 天执行。

两者并不矛盾。它们定义的是相似的长期失效状态，但通过不同的区域政策程序选择了不同期限。NRO 的表格也没有把这两个数字变成适用于所有 RIR、托管型证书机构或所有发布故障的全球参数。它提供导航；APNIC 与 RIPE NCC 的政策文件给出具体规则。

通知本身也是控制机制

如果运营方无法查明计时依据，期限就不能发挥可问责的作用。记录至少应说明最后一次验证成功的清单和 CRL、首次无法验证当前数据的时间、哪些联系人收到通知、运营方如何回应，以及证书最终处于什么状态。缺少这些时间戳时，“失效90天”可能掩盖证书机构故障、发现路径异常、联系人地址过期，甚至监测本身不完整。

通知同时留出干预窗口。运营方可以恢复发布、确认上级重新发现数据，或决定不再需要委派证书机构。RIPE NCC 表示，撤销后的证书机构仍可按控制面板上的常规流程重新创建。这提供了一条恢复路径，但不会恢复原证书的状态。

Heng Lu 的 Note 70 提供的是编辑视角，不是这些政策的事实证据：保障名录功能持续运行，同时精确说明机构正在行使什么权力。此处的控制范围比一般性的制度主张窄得多：已公布的触发条件、监测期限、通知步骤和证书状态变更。其可信度取决于每一步是否可复核。

网络运营方应跟踪哪些信息

使用委派 RPKI 的运营方需要先确认适用的上级 RIR、部署模式和期限。实务记录应涵盖证书机构负责人和联系人、最后一次清单及 CRL 验证、首次失败、通知与答复时间、以及最终状态。收到通知时，应确认发布点能否提供当前且可验证的数据，而不是只看某个网页或单一传输端点是否响应。

如果发布工作已终止，主动撤销可能比等待上级处理更妥当。若证书机构仍有用途，运营方应尽早修复并验证发布路径，留出时间让上级监测到恢复。60 天或 90 天并不是忽略关键发布点的宽限期，而是针对长期失效状态设置的政策上限。

期限背后的决策

这项规则重新分配了成本。长期沉睡的证书机构会造成验证器反复尝试获取陈旧数据；清理后，依赖方少了一个持续无效的发布点。资源持有人则依赖登记机构正确发现故障、联系到合适的人，并提供可用的恢复途径。

因此，通知与证据属于规则本身。基于日期执行的期限只有在日期对应可验证条件时才客观。RIR 可以公开测量方式，把发布故障与发现故障分开，保存通知和回复记录，并区分对象过期与行政撤销证书。

结论不是所有区域都应使用同一个数字。运营方需要知道本地适用期限、该期限测量的条件，以及证书何时改变状态。RIPE NCC 报告的首批 35 次撤销说明规则已经进入运行阶段；APNIC 的 60 天则说明，比较并不等于统一。对每个证书机构，关键问题仍然是本地的：什么数据停止了验证，时钟何时启动，还有哪些证据可以阻止撤销？

资料来源： NRO 2026-Q3公告；Q3政策比较PDF；Q2比较PDF；RIPE NCC实施状态；RIPE NCC 9月24日运营通报；RIPE-847；APNIC prop-166；APNIC 61实施更新；Heng Lu，Note 70。