YD/T 4572-2023 标准解读

一、核心基础术语释义

• 互联网码号资源公钥基础设施（RPKI）：指基于公钥密码技术，为互联网码号资源（如IP地址、自治系统号码）构建的可信身份认证体系，用于实现路由源验证（ROA），防止非法路由宣告。
• 依赖方（Relying Party, RP）：在RPKI架构中，负责从可信存储库获取并验证证书、对象授权声明（ROA）、撤销列表等信息，生成本地可信数据集，并向路由系统提供验证结果的实体。
• 可信存储库（Trust Anchor Repository）：存放根级信任锚点（如根证书颁发机构自签名证书）及其发布路径的公开可访问位置，是RP启动信任链验证的起点。
• 资源证书（Resource Certificate）：由区域互联网注册机构（RIR）签发的X.509格式证书，证明持有者对特定IP地址前缀或AS号码的合法使用权，支持向下授权。
• 对象授权声明（Route Origin Authorization, ROA）：由资源持有者创建的数字签名对象，声明其授权某一AS号对指定IP前缀进行路由宣告，是路由验证的核心依据。
• 证书吊销列表（CRL）：由证书颁发机构定期发布的已撤销证书序列号列表，用于标识不再有效的资源证书，确保状态时效性。

二、专项技术术语解析

1. 本地可信数据集（Local Trust Store）：依赖方通过同步与验证远程存储库内容后，在本地构建的完整且经过完整性校验的数据集合，包含有效证书链、ROA记录及CRL信息，作为路由决策输入源。
2. 信任锚点（Trust Anchor）：RP预先配置的根级CA自签名证书，构成信任链验证的起始节点；RP仅接受以该锚点为根的证书路径，拒绝其他路径下的所有对象。
3. 存储库同步（Repository Synchronization）：RP通过rsync或RRDP协议，从一个或多个发布点（Publication Point）拉取最新证书、ROA和CRL文件的过程，需保证数据完整性与防篡改。
4. 路径验证（Path Validation）：依据X.509证书路径验证算法，检查从信任锚到终端对象（如ROA）之间的每一级签名有效性、有效期、资源集包含关系及策略约束是否符合规范要求。
5. 前缀合法性检查（Prefix Conformance Check）：验证ROA中声明的IP前缀是否被其上层证书所授权的资源集完全覆盖，防止越权声明。
6. 签名验证（Signature Validation）：使用上级证书公钥验证下级对象（如子CA证书、ROA）数字签名的过程，确保数据来源真实且未被篡改。
7. 验证周期（Validation Interval）：RP执行完整验证流程的时间间隔，标准要求不超过24小时，以保障路由安全策略的及时更新与响应。

三、易混淆术语区分

四、术语应用规范

• 文书表述统一性：
  • 正式文档中应使用全称“对象授权声明（Route Origin Authorization, ROA）”，首次出现标注英文缩写，后续可用ROA。
  • “依赖方”不得简写为“RP”于正文段落，仅允许在图表、公式或括号注释中使用缩写。
  • “资源证书”禁止称为“RPKI证书”或“网络证书”，避免概念泛化。
• 实操过程术语使用：
  • 在配置文件中，信任锚点文件应命名为trust-anchor.cer，不得使用root-ca.crt等非标命名。
  • 日志记录中，“路径验证失败”须具体注明原因类别，如“资源超限”、“签名无效”或“证书过期”，不得笼统标记为“验证错误”。
  • 同步操作日志应明确记录协议类型（rsync:// 或 RRDP HTTP/HTTPS）、源URL及时间戳。
• 核验与审计要求：
  • 第三方审计时，必须核查“本地可信数据集”的生成时间、验证状态及与上游存储库的一致性哈希值。
  • ROA有效性判定须同时满足：签名有效、路径可信、前缀合规、未被CRL撤销、处于有效期内。
  • 任何涉及资源再分配的操作，必须追溯至原始资源证书的授权链条，形成完整证据链。