RPKI
一套用于验证互联网路由宣告真实性的加密框架，通过数字签名为 IP 地址前缀签发路由起源授权（ROA），让路由器能够验证路由宣告是否来自合法地址持有者，弥补 BGP 原生信任模型的缺陷。
时间轴 (近 90 天)
RPKI目前已保护全球约70%的路由，一年前该数字为54%。
RPKI是一套用于验证互联网路由宣告真实性的加密框架。
RPKI通过数字签名为IP地址前缀签发'路由起源授权'（ROA），让路由器能够验证某条路由宣告是否来自合法的地址持有者。
大型IXP往往会在其路由服务器上统一实施RPKI验证，成员网络即使自身不部署RPKI，也能间接受益。
RPKI的验证结果通常分为三类：Valid（有效）、Invalid（无效）和NotFound（未找到ROA）。
宽松模式只对Invalid路由降低优先级但不丢弃，仍可能被攻击者利用；严格模式则直接拒绝Invalid宣告，安全性最高，但一旦ROA配置出错就可能造成合法路由被误伤。
剩余30%未验证的路由通常集中在中小型ISP、企业网络和部分地区的本地运营商。
70%的覆盖率必须与更严格的验证策略配合，才能真正发挥安全价值。
对绝大多数互联网用户来说，RPKI的部署是透明的，不需要做任何配置。
70%是一个心理关口，证明了RPKI从'可选项'向'默认实践'转变的趋势已经不可逆转。
全部知识事实 (10)
RPKI目前已保护全球约70%的路由，一年前该数字为54%。
50%待验证RPKI是一套用于验证互联网路由宣告真实性的加密框架。
50%待验证RPKI通过数字签名为IP地址前缀签发'路由起源授权'（ROA），让路由器能够验证某条路由宣告是否来自合法的地址持有者。
50%待验证大型IXP往往会在其路由服务器上统一实施RPKI验证，成员网络即使自身不部署RPKI，也能间接受益。
50%待验证RPKI的验证结果通常分为三类：Valid（有效）、Invalid（无效）和NotFound（未找到ROA）。
50%待验证宽松模式只对Invalid路由降低优先级但不丢弃，仍可能被攻击者利用；严格模式则直接拒绝Invalid宣告，安全性最高，但一旦ROA配置出错就可能造成合法路由被误伤。
50%待验证剩余30%未验证的路由通常集中在中小型ISP、企业网络和部分地区的本地运营商。
50%待验证70%的覆盖率必须与更严格的验证策略配合，才能真正发挥安全价值。
50%待验证对绝大多数互联网用户来说，RPKI的部署是透明的，不需要做任何配置。
50%待验证70%是一个心理关口，证明了RPKI从'可选项'向'默认实践'转变的趋势已经不可逆转。
50%