ICS 33.040.40 CCS L78 YD 中华人民共和国 通信行业标准 XX/T XXXXX—XXXX BGPsec技术要求 BGPsec路由器证书 A profile for BGPsec router certificates, certificate revocation lists, and certification requests （报批稿） -XX-XX发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发 布 XX/T XXXXX—XXXX I目 次 前言 .................................................................................. II 1 范围 ................................................................................. 1 2 规范性引用文件 ....................................................................... 1 3 术语和定义 ........................................................................... 1 4 缩略语 ............................................................................... 2 5 概述 ................................................................................. 2 6 证书资源 ............................................................................. 2 7 RFC6487更新内容 ..................................................................... 3 7.1 BGPsec路由器证书字段 ............................................................ 3 7.2 BGPsec路由器证书请求要求 ........................................................ 4 7.3 BGPsec路由器证书验证 ............................................................ 4 7.4 RPKI中的路由器证书和签名功能 .................................................... 5 8 设计说明 ............................................................................. 5 9 部署注意事项 ......................................................................... 5 10 安全要求 ............................................................................ 5 XX/T XXXXX—XXXX II前 言 本文件按照 GB/T 1.1—2020《标准化工作导则第 1 部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利 。本文件的发布机构不承担识别这些专利的责任 。本文件由 中国通信标准化协会提出并归口。 本文件起草单位：中国互联网络信息中心（ CNNIC）、暨南大学。 本文件主要起草人：延志伟、周琳琳、董科军、耿光刚、刘东杰、张银炎。 XX/T XXXXX—XXXX 1BGPsec技术要求 BGPsec路由器证书 1　范围 本文件定义了用于验证 边界网关协议 （BGP）中自治系统 （AS）路径的X.509证书标准 。该标准作为 BGPsec扩展的一部分内容 ，基于X.509证书定义了证书请求的格式以及 依赖方（rely party, RP）证书对 终端实体证书进行路径验证的流程。 本文件适用于使用 BGP协议的数据中心网络、运营商网络和内容服务商网络等场景。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件 ， 仅该日期对应的版本适用于本文件 ；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 IETF RFC6481资源证书资料库架构规范（ A Profile for Resource Certificate Repository Structure ） IETF RFC6481 资源证书资料库架构规范（ A Profilefor Resource Certificate Repository Structure ） IETF RFC6482 路由起源认证规范（ A Profile for Route Origin Authorizations (ROAs)） IETF RFC6486资源公钥基础设施中的资料清 （Manifests for the Resource Public Key Infrastructure ） IETF RFC6487 X.509 PKIX资源证书规范（ A Profile for X.509 PKIX Resource Certificates ） IETF RFC6488资源公钥基础设施签名对象模板（ Signed Object Template for the Resource Public Key Infrastructure (RPKI)） IETF RFC6489 资源公钥认证权威密钥轮转 （CertificationAuthority (CA) Key Rollover in the Resource Public Key） IETFRFC8209 BGPsec路由器证书 ，证书吊销列表和证书请求的 标准（A Profile for BGPsec Router Certificates, Certificate Revocation Lists, and Certification Requests ） 3　术语和定义 下列术语和定义适用于本文件 3.1　 终端实体证书 end-entity certificate 用来验证与资源的使用相关的签名对象，比如 ROA和资源列表等。 3.2　 依赖方 relying party XX/T XXXXX—XXXX 2RPKI系统的使用者，负责帮助 BGP边界路由器从资料库中爬取原始的资源证书和签名对象、信任链 的构建、证书验证、缓存管理等。最后，将上述 RPKI信息处理后得到的 INR使用权信息存储下来，并下 发给BGP边界路由器。 4　缩略语 下列缩略语适用于本文件。 AS 自治域 Autonomous System BGP 边界网关协议 Border Gateway Protocol CA 认证权威 Certificate Authority CRL 证书撤销列表 Certificates Revocation Lists EE 终端实体 End-Entity RP 依赖方 Relying Party ROA 路由源授权 Route Origination Authorization RPKI 资源公钥基础设施 Resource Public Key Infrastructure SIA 主体信息访问 Subject Information Access 5　概述 本文件定义了X.509终端实体证书用于认证 BGPsec协议中的 AS路径。这种证书称为 “BGPsec 路由器 证书”。 BGPsec路由器证书关联私钥的持有者有权代表证书中指定的 AS发布安全路由宣告（ BGPsec UPDATE）。持有私钥的路由器被授权向其他路由器发送路由通告用于识别路由器的 AS号（ASN），该路 由器将作为作为路由宣告的源路由器 。BGPsec技术的关键点在于 ，沿着AS路径的每个 AS可以验证该 AS路 径上的其他 AS的路由宣告是真实有效的 。本文件定义了用于获取 BGPsec路由器证书的证书请求格式 。最 后，本文件定义了RP证书对路由器证书进行路径验证的流程。 6　证书资源 图1描绘了RPKI中的涉及的参与对象。 IANA向每个地区互联网注册机构（ RIR）颁发CA证书。RIR则 为互联网服务提供商 （ISP）颁布CA证书。ISP向自己颁发终端实体证书以验证 RPKI签名对象的签名 。此 外CA还会生成证书撤销列表（