YD/T ××××—×××× BGPsec技术要求 路由器证书轮转 Technical specification for BGPsec - Router certificate rollover （报批稿） 202×-××-××发布 中华人民共和国工业和信息化部 发 布YD 202×-××-××实施中华人民共和国通信行业标准ICS 33.040.40 CCS L78YD/T XXXXX—XXXX I目 次 前 言 .............................................................................. II 1 范围 ................................................................................. 1 2 规范性引用文件 ....................................................................... 1 3 术语、定义及缩略语 ................................................................... 1 3.1 术语和定义 ....................................................................... 1 3.2 缩略语 ........................................................................... 2 4 概述 ................................................................................. 2 5 BGPsec中的密钥轮转要求 .............................................................. 3 5.1 总体要求 ......................................................................... 3 5.2 轮转过程 ......................................................................... 3 6 使用BGPsec路由器密钥轮换作为抵御重放攻击的措施 ...................................... 4 6.1 概述 ............................................................................. 4 6.2 曝光要求的 BGP更新窗口 ........................................................... 4 6.3 使用BGPsec密钥轮换作为防止重放攻击的机制 ........................................ 5 附录A（资料性） 注意事项 .............................................................. 6 参考文献 ............................................................................... 7 YD/T XXXXX—XXXX II前 言 本文件按照 GB/T 1.1-2020 《标准化工作导则 第1部分：标准化文件第结构和起草规则 》的规则起 草。 本文件是《 BGPsec技术要求》系列标准之一，该系列标准已发布如下标准： ——《BGPsec技术要求 BGPsec操作要求》； ——《BGPsec技术要求 路由器密钥管理》； ——《BGPsec技术要求 路由器证书轮转》； ——《BGPsec技术要求 算法、密钥格式和签名格式》； ——《BGPsec技术要求 BGPsec路由器证书》； ——《BGPsec技术要求 自治系统（ AS）迁移的 BGPsec协议支持要求》。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本文件由中国通信标准化协会出并归口。 本文件主要起草单位 ：暨南大学，中国互联网络信息中心，中国信息通信研究院，中国电信集团有 限公司。 本文件主要起草人：翁健，耿光刚，杨安家，孔凯传，刘东杰，延志伟，赵锋，姚健康，黄衍铭， 冯丙文，黄书强，赖泽桐，张银炎，陈勇，曾国强，刘志全，陈华南。YD/T XXXXX—XXXX 1BGPsec技术要求 路由器证书轮转 1　范围 本文件规定了 BGPsec路由器证书轮转的时间、原因以及证书轮转的安全过程。 本文件适用于 BGPsec路由器进行证书轮转的全过程。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件 ， 仅该日期对应的版本适用于本文件 ；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 RFC6489 资源公共密钥基础设施 （RPKI）中认证机构 （CA）的密钥轮转 （Certification Authority （CA） Key Rollover in the Resource Public Key Infrastructure （RPKI）） RFC7030 安全传输的注册 （Enrollment over Secure Transport ） RFC7353 BGP路径确认安全需求 （Security Requirements for BGP Path Validation ） RFC8205 BGPsec协议规范 （BGPsec Protocol Specification ） RFC8207 BGPsec运作考虑 （BGPsec Operational Considerations ） RFC8210 RPKI路由协议，版本 1 （The Resource Public Key Infrastructure （RPKI） to Router Protocol, Version 1） RFC8634 BGPsec路由器证书轮转 （BGPsec Router Certificate Rollover ） RFC8635 BGPsec路由器密钥管理 （Router Keying for BGPsec） 3　术语、定义 及缩略语 3.1　术语和定义 下列术语和定义适用于本文件。 3.1.1　边界网关协议 border gateway protocol 互联网上一个核心的去中心化自治路由协议。它通过维护 IP路由表或 “前缀”表来实现自治系统 （AS）之间的可达性，使用基于路径、网络策略或规则集来决定路由，属于矢量路由协议。 3.1.2　边界网关协议安全策略 border gateway protocol security 一种为边界网关协议路由通告提供路径安全性的机制 。BGPsec通过增加一种新的路由证书 ，要求每 一个AS都对它接收到的路由通告消息进行签名，签名内容作为路由消息的路径属性 BGPsec_Path_Signatures 通告给邻居 AS。BGPsec与RPKI全面保障了 BGP协议的安全性 ，防止路由劫持 （前 缀劫持、路径篡改）。 3.1.3　资源公钥基础设施 resource public key infrastructure YD/T XXXXX—XXXX 2一项旨在使互联网路由基础设施更安全的公开密钥基础建设（ PKI）框架，为将互联网码号资源信 息（如自治系统号码和 IP地址）连接到一个信任锚提供了一种方式。 3.1.4　证书颁发机构 certificate authority 负责发放和管理数字证书的权威机构 ，并作为电子商务交易中受信任的第三方 ，承担公钥体系中公 钥的合法性检验的责任。 3.1.5　边界网关协议发言人 border gateway protocol speaker 一种 BGP边界路由器，该路由器可以代表整个自治系统与其他自治系统交互路由信息。 3.2　缩略语 下列缩略语适用于本文件。 BGP:边界网关协议（ Border Gateway Protocol ） BGPsec:边界网关协议安全策略（ Border Gateway Protocol Security ） RPKI:资源公钥基础设施（ Resource Public Key Infrastructure ） AS:自治系统（ Autonomous System） CPS:证书操作声明（ Certification Practice Statement ） EST:安全传输证明（ Enrollment over Secure Transport ） CRL:证书吊销列表（ Certificate Revocation