电子工业出版社-网上书店

边界路由劫持往往会造成一个地区甚至一个国家整个网络断网的严重事件。为此，IETF推出了近40 篇RFC，以期构建一个支撑域间路由安全的互联网号码资源公钥基础设施，这是IETF有史以来针对单一技术制定RFC最多的一次。本书以IETF制定的RFC为基础，着眼于实际应用，从定义、原理、架构和实际应用出发，系统性地介绍了RPKI。本书适合软件开发人员、测试人员以及互联网安全管理者阅读，也适合高等院校计算机相关专业师生、互联网安全研究者阅读。

目  录  
 

第1章  RPKI简介	1
1.1  背景	1
1.1.1  技术起源	1
1.1.2  自治系统和路由劫持	2
1.1.3  互联网号码资源分配架构	4
1.2  RPKI概述	6
1.2.1  技术规范	6
1.2.2  标准兼容性	6
1.2.3  工作原理	7
1.3  重要概念	8
1.3.1  资源公钥基础设施	8
1.3.2  认证中心证书	9
1.3.3  终端证书	9
1.3.4  依赖方	10
1.3.5  信任锚点	10
1.3.6  签名对象	10
1.3.7  路由源授权	11
1.3.8  清单	11
第2章  RPKI总体架构	12
2.1  RPKI证书	12
2.1.1  概述	12
2.1.2  CA证书	13
2.1.3  EE证书	14
2.2  RPKI签名对象	15
2.2.1  路由源授权	15
2.2.2  清单	17
2.2.3  证书撤销列表	18
2.3  RPKI资料库	19
2.3.1  定义	19
2.3.2  使用规则	19
2.3.3  访问控制	22
2.4  本地缓存	23
2.5  信赖锚	24
2.6  操作规范	24
2.6.1  证书签发	24
2.6.2  密钥轮转	25
2.6.3  路由源授权管理	26
2.7  安全及部署	31
第3章  RPKI证书策略	32
3.1  资源授权和证书政策	32
3.1.1  证书分类和互联网号码资源授权	32
3.1.2  证书政策管理	34
3.1.3  证书命名政策	34
3.1.4  证书相关方	35
3.1.5  证书发布政策	36
3.1.6  证书使用范围	38
3.1.7  重要定义及其缩略语	38
3.2  证书相关信息验证	40
3.2.1  私钥所有权验证	40
3.2.2  用户身份认证	40
3.2.3  撤销请求认证	41
3.2.4  密钥重置请求认证	41
3.2.5  无须验证的信息	42
3.2.6  互操作	42
3.3  证书相关操作	42
3.3.1  概述	42
3.3.2  操作申请处理	43
3.3.3  证书签发操作	44
3.3.4  证书发布通知	44
3.3.5  证书使用规则	44
3.3.6  证书更新操作	45
3.3.7  证书更新同时更换密钥操作	46
3.3.8  证书修改操作	47
3.3.9  证书废止	47
3.4  操作安全保障	49
3.4.1  物理安全保障	49
3.4.2  流程安全保障	50
3.4.3  人事安全保障	50
3.4.4  日志安全保障	50
3.4.5  其他保障	51
3.4.6  漏洞评估和密钥更换审核	52
3.4.7  CA终止保障	52
3.5  证书密钥生成和安全保障	52
3.5.1  密钥生成	52
3.5.2  密钥交付	53
3.5.3  密钥安全管理	54
3.5.4  密钥时间戳	54
3.5.5  小结	55
第4章  RPKI资源证书详解	56
4.1  规则概述	56
4.2  RPKI证书格式和规则	57
4.2.1  版本号	57
4.2.2  序列号	57
4.2.3  签名结构	58
4.2.4  签发者	58
4.2.5  主题	58
4.2.6  有效期	58
4.2.7  主题公钥信息	59
4.2.8  资源证书扩展项	60
4.2.9  私钥格式	65
4.2.10  签名格式	65
4.2.11  附加需求	65
4.3  证书撤销列表格式和规则	65
4.3.1  版本号	65
4.3.2  证书撤销列表序列号	66
4.3.3  序列号和撤销日期	66
4.3.4  其他规定	66
4.4  证书请求格式和规则	66
4.4.1  概述	66
4.4.2  证书请求标准	67
4.4.3  证书请求消息格式	68
4.4.4  证书扩展属性	69
4.5  证书验证格式和规则	70
4.5.1  重要定义	70
4.5.2  验证方法和流程	71
4.6  证书设计及实例	73
4.6.1  证书设计规则	73
4.6.2  规则后续兼容	75
4.6.3  证书策略变化	76
4.6.4  吊销风险	77
4.6.5  资源证书实例	77
第5章  RPKI签名对象介绍	82
5.1  概述	82
5.2  算法和密钥	83
5.2.1  算法分类	83
5.2.2  非对称密钥对格式	84
5.2.3  签名格式	84
5.2.4  附加规定	85
5.3  RPKI签名对象通用模板	85
5.3.1  签名对象语法	85
5.3.2  签名数据内容类型	85
5.3.3  签名对象验证	88
5.3.4  如何扩展成具体签名对象	89
5.3.5  其他需要注意的事项	90
第6章  路由源授权详解	91
6.1  内容格式	91
6.1.1  概述	91
6.1.2  内容	92
6.1.3  验证	93
6.1.4  实例	94
6.2  验证授权具体应用	95
6.2.1  初始AS的定义	95
6.2.2  验证方法	95
6.2.3  验证过程	96
6.2.4  路由选择	97
6.2.5  授权否认	98
6.2.6  验证结果生命期限	99
6.2.7  其他注意事项	99
第7章  RPKI清单详解	100
7.1  概述	100
7.1.1  背景	100
7.1.2  内容	101
7.1.3  签名规则	102
7.1.4  发布库要求	102
7.2  RPKI清单语法和语义	103
7.2.1  清单对公用签名对象的扩展	103
7.2.2  清单和文件哈希值算法	104
7.2.3  实例 	106
7.3  清单生成和验证	106
7.3.1  清单验证	106
7.3.2  清单生成	107
7.3.3  其他安全考虑	108
7.4  依赖方如何使用RPKI清单	109
7.4.1  清单状态检测	109
7.4.2  清单缺失的情况	110
7.4.3  有效清单缺失的情况	111
7.4.4  清单版本陈旧的情况	112
7.4.5  清单与发布点信息不匹配的情况	112
7.4.6  清单与哈希值不匹配的情况	113
第8章  证书撤销详解	115
8.1  使用规范	115
8.1.1  概述	115
8.1.2  签发要求	116
8.2  语义和语法	116
8.2.1  证书列表	117
8.2.2  TBSCert 列表	118
8.2.3  扩展项	119
8.3  CRL实体扩展	120
8.3.1  原因码	120
8.3.2  无效期	121
8.3.3  证书签发者	121
8.4  CRL验证	122
8.4.1  撤销输入	122
8.4.2  状态变量	123
8.4.3  检测过程	123
第9章  Ghostbuster记录详解	126
9.1  概述	126
9.1.1  背景和定义	126
9.1.2  安全考虑	127
9.2  Ghostbuster 记录载荷	127
9.2.1  vCard规范	127
9.2.2  CMS规范	128
9.2.3  验证	129
9.3  IANA事项	129
9.3.1  对象标识符	129
9.3.2  文件扩展名	130
9.3.3  媒体类型	130
第10章  IANA签名对象详解	131
10.1  概述	131
10.1.1  背景介绍	131
10.1.2  AS 0 ROA	132
10.1.3  告知对象	132
10.1.4  签发要求	132
10.2  特殊号码资源介绍	133
10.2.1  保留的号码资源	133
10.2.2  未分配的号码资源	134
10.2.3  特殊用途的号码资源	135
10.2.4  多播号码资源	135
第11章  RPKI资料存储系统	136
11.1  概述	136
11.2  RPKI资料库发布点内容和结构	137
11.2.1  概述	137
11.2.2  清单	138
11.2.3  CA资料库发布点	139
11.3  资源证书发现资料库注意事项	141
11.4  证书重签发和资料库	142
11.5  使用本地缓存同步资料库	142
11.6  资料库安全	143
第12章  信任锚点及其定位器	144
12.1  信任锚点及其发布	144
12.1.1  信任锚点的定义	144
12.1.2  信任锚点的发布流程	145
12.2  信任锚点定位器	145
12.2.1  定义	145
12.2.2  语法和语义	146
12.2.3  实例	147
12.3  TAL的使用和安全事项	147
12.3.1  检索和验证步骤	147
12.3.2  安全相关	148
第13章  RPKI应用场景介绍	149
13.1  概述	149
13.1.1  基本定义	149
13.1.2  基本策略	151
13.2  完全部署RPKI的应用	152
13.2.1  单公告的情况	152
13.2.2  聚集且更具体前缀的情况	152
13.2.3  聚集且来自不同ASN更加具体前缀的情况	153
13.2.4  子分配到多宿主客户的情况	154
13.2.5  限制新分配的情况	155
13.2.6  限制新申请ASN的情况	156
13.2.7  部分限制的情况	156
13.2.8  限制前缀的长度	157
13.2.9  对子分配前缀长度进行限制	158
13.2.10  上游服务商发起聚集的情况	159
13.2.11  上游服务商发起非法聚集的情况	161
13.3  部分部署RPKI的应用	163
13.3.1  双亲节点不参与RPKI的情况	163
13.3.2  部分子节点参与RPKI的情况	164
13.3.3  孙节点不参与RPKI的情况	165
13.4  资源转移使用RPKI的情况	166
13.4.1  正在使用的前缀和ASN转移的情况	166
13.4.2  转移在用前缀的情况	167
13.4.3  转移不在用前缀的情况	168
第14章  依赖方使用RPKI介绍	169
14.1  路由源授权有效情况下的应用实例	169
14.1.1  场景一：前缀覆盖、长度符合、AS匹配	169
14.1.2  场景二：前缀覆盖、长度超出、AS匹配	170
14.1.3  场景三：前缀覆盖、长度符合、AS不匹配	170
14.1.4  场景四：前缀覆盖、长度超出、AS不匹配	170
14.1.5  场景五：无覆盖前缀ROA	171
14.1.6  场景六：只有AS 0 ROA为覆盖前缀ROA	171
14.1.7  场景七：不覆盖前缀信息但覆盖更加具体的子集	171
14.1.8  场景八：AS_SET类型其无覆盖前缀ROA	172
14.1.9  场景九：单AS AS_SET、有覆盖ROA且AS匹配	172
14.1.10  场景十：单AS AS_SET、有覆盖ROA但AS不匹配	173
14.1.11  场景十一：多AS AS_SET且有覆盖ROA	173
14.1.12  场景十二：多AS AS_SET、ROA覆盖子集	173
14.2  路由源授权无效情况下的应用实例	174
14.2.1  场景一：父前缀ROA被撤销	174
14.2.2  场景二：自身ROA被撤销、新ROA授权其他ASN	175
14.2.3  场景三：自身ROA撤销、父前缀ROA有效	175
14.2.4  场景四：祖父前缀ROA撤销、父前缀ROA有效	175
14.2.5  场景五：父前缀ROA过期	176
14.2.6  场景六：自身ROA过期、父前缀ROA授权其他ASN	176
14.2.7  场景七：自身ROA过期、父前缀ROA有效	177
14.2.8  场景八：祖父前缀ROA到期、父前缀ROA有效	177
参考文献	178

推荐序：期待中文版的RPKI

路由的完整性是全球互联网安全的基石，而路由的完整性又取决于地址和路由宣告的信任。这种信任并不会自发产生，它需要一个可以经过严格测试和验证的信息模型。
RPKI是一个与互联网号码资源结构相结合的分层认证模型，在X.509证书框架下采用公钥—私钥的加密形式，用签名的方式为网络地址和路由宣告信息提供可信任的基础。RPKI严格遵循现有的互联网号码资源管理体系架构，中国也是该体系架构中的一员。依赖方会对RPKI断言执行密码测试，以验证其在任务层次中的完整性，因此构建了一个严谨的互联网模型。RPKI是互联网路由架构信任的基础。
RPKI技术是由IETF制定的一系列RFC标准组成的，中国的计算机科学、网络工程、电信行业和公共行政机构等与世界上其他伙伴一起在这些标准制定中发挥了作用。这其实是对公众利益的一项重大、长期投资。
RPKI还处于部署的早期阶段。本书结合相关文档和评论（指的是RFC文档以及在RFC编制过程中的公开意见。——译者注）提供了高质量的RPKI中文版，这无疑对更广泛地理解路由安全和RPKI作出了实质性贡献，我对此深表欢迎。
作为RPKI世界标准的作者之一，也作为本书作者的同行，我非常高兴地看到对RPKI在互联网发展中的作用进行的探索。中国，对本国互联网安全进行了巨大投资，并从稳健和安全的互联网中获得了巨大反馈。
互联网的长远未来和完整性取决于我们所有人的努力，取决于为公众利益制定标准的合作。我赞赏作者对中国互联网号码资源工作所作出的贡献，赞赏对IETF以及其他国际标准所作出的贡献。

乔治?迈克尔森


前  言
 
RPKI（Resource Public Key Infrastructure，资源公钥基础设施）技术最早起源于描述S-BGP（Secure Border Gateway Protocol ，安全边界网关协议）方案的论文中。S-BGP提出了一种附加签名的BGP消息格式，用于验证路由通告中IP地址前缀和传播路径AS号的绑定关系，避免路由劫持现象的发生。基于这样的设计，数字证书和签名机制被引入BGP范畴，从而顺理成章地引出对一套公钥基础设施（PKI）的支持。
RPKI标准化工作是在互联网工程任务组（The Internet Engineering Task Force，IETF）的域间路由安全（Secure Inter-Domain Routing，SIDR）工作小组开展的。自2012年2月推出第一篇标准文稿开始，至今已经发布了总计29篇RFC（Request for Comments）。因此，在一定意义上RPKI是由一系列互联网技术标准规范的工程应用。RPKI的出现，让IP地址的合法持有者以明确的、可验证的方式授权某个AS作为其特定IP地址路由通告发起者成为现实。2016年4月，在布宜诺斯艾利斯举办的IETF 95会议上，SIDR工作小组宣布RPKI相关技术的标准化工作已基本完成，RPKI俨然已经成为支撑域间路由安全的重要保障体系。
为加速RPKI技术在中国的推广，使广大中国互联网安全从业者更好地理解和应用RPKI技术，我们在IETF制定的RFC基础之上，结合中国互联网络信息中心（CNNIC）部署和运行RPKI的实际经验，编写了《深入浅出详解RPKI》。本书由长期从事互联网基础设施运行、IP国际业务、国际标准研究与制定、软硬件开发等一线工程师编著而成。理论深入浅出、论述简明扼要，立足于实际运用和开发，适合RPKI技术初学人员、网络运维工程师以及网络安全研究人员等使用。
本书从以下3方面介绍：
一是以IETF制定的RFC为基础，全面介绍RPKI的语义语法、组成架构、工作原理。这是RPKI的立足点，同时也是本书不但解释“是什么”、还要问“为什么”的特色，帮助读者全面掌握RPKI的来龙去脉与技术精髓。
二是以实际应用与操作为目的，突出理论指导应用与操作的理念。IETF制定RPKI规范的关键在于应用、部署、推广，本书充分体现了RPKI的实用性，给出RPKI实际应用案例和环境搭建，让读者能够了解和感受在实践中如何开发和部署RPKI。
三是以最新资料为亮点。互联网技术日新月异，本书全面参考2017年4月更新的RFC，把读者所需要的最新标准规范、最新使用案例、最新操作方法等一一呈现出来，以便及时解决RPKI部署中所遇到的难点、疑点。
由于水平有限，本书如存在不当之处，敬请广大读者批评指正。


秦小伟
2017年4月21日

计算机-网络安全

秦小伟，男，毕业于南开大学电子技术科学学院，中国互联网络信息中心（CNNIC）高级工程师，长期从事计算机网络安全研究，涉及IP、边界路由等。多项国际、国内互联网技术标准制定者，国家首届关键信息基础设施网络安全检查成员，主持国家检查办CII识别与认定工作，多项工信部、发改委、科技部重大专项参与者。

本书配套资源下载

对不起，暂无音视频资源！