深入浅出详解RPKI

本书特色

[

边界路由劫持往往会造成一个地区甚至一个国家整个网络断网的严重事件。为此，IETF推出了近40 篇RFC，以期构建一个支撑域间路由安全的互联网号码资源公钥基础设施，这是IETF有史以来针对单一技术制定RFC*多的一次。本书以IETF制定的RFC为基础，着眼于实际应用，从定义、原理、架构和实际应用出发，系统性地介绍了RPKI。本书适合软件开发人员、测试人员以及互联网安全管理者阅读，也适合高等院校计算机相关专业师生、互联网安全研究者阅读。

]

作者简介

[

秦小伟，男，毕业于南开大学电子技术科学学院，中国互联网络信息中心（CNNIC）高级工程师，长期从事计算机网络安全研究，涉及IP、边界路由等。多项国际、国内互联网技术标准制定者，国家首届关键信息基础设施网络安全检查成员，主持国家检查办CII识别与认定工作，多项工信部、发改委、科技部重大专项参与者。

]

目录

目 录 第1章 RPKI简介 11.1 背景 11.1.1 技术起源 11.1.2 自治系统和路由劫持 21.1.3 互联网号码资源分配架构 41.2 RPKI概述 61.2.1 技术规范 61.2.2 标准兼容性 61.2.3 工作原理 71.3 重要概念 81.3.1 资源公钥基础设施 81.3.2 认证中心证书 91.3.3 终端证书 91.3.4 依赖方 101.3.5 信任锚点 101.3.6 签名对象 101.3.7 路由源授权 111.3.8 清单 11第2章 RPKI总体架构 122.1 RPKI证书 122.1.1 概述 122.1.2 CA证书 132.1.3 EE证书 142.2 RPKI签名对象 152.2.1 路由源授权 152.2.2 清单 172.2.3 证书撤销列表 182.3 RPKI资料库 192.3.1 定义 192.3.2 使用规则 192.3.3 访问控制 222.4 本地缓存 232.5 信赖锚 242.6 操作规范 242.6.1 证书签发 242.6.2 密钥轮转 252.6.3 路由源授权管理 262.7 安全及部署 31第3章 RPKI证书策略 323.1 资源授权和证书政策 323.1.1 证书分类和互联网号码资源授权 323.1.2 证书政策管理 343.1.3 证书命名政策 343.1.4 证书相关方 353.1.5 证书发布政策 363.1.6 证书使用范围 383.1.7 重要定义及其缩略语 383.2 证书相关信息验证 403.2.1 私钥所有权验证 403.2.2 用户身份认证 403.2.3 撤销请求认证 413.2.4 密钥重置请求认证 413.2.5 无须验证的信息 423.2.6 互操作 423.3 证书相关操作 423.3.1 概述 423.3.2 操作申请处理 433.3.3 证书签发操作 443.3.4 证书发布通知 443.3.5 证书使用规则 443.3.6 证书更新操作 453.3.7 证书更新同时更换密钥操作 463.3.8 证书修改操作 473.3.9 证书废止 473.4 操作安全保障 493.4.1 物理安全保障 493.4.2 流程安全保障 503.4.3 人事安全保障 503.4.4 日志安全保障 503.4.5 其他保障 513.4.6 漏洞评估和密钥更换审核 523.4.7 CA终止保障 523.5 证书密钥生成和安全保障 523.5.1 密钥生成 523.5.2 密钥交付 533.5.3 密钥安全管理 543.5.4 密钥时间戳 543.5.5 小结 55第4章 RPKI资源证书详解 564.1 规则概述 564.2 RPKI证书格式和规则 574.2.1 版本号 574.2.2 序列号 574.2.3 签名结构 584.2.4 签发者 584.2.5 主题 584.2.6 有效期 584.2.7 主题公钥信息 594.2.8 资源证书扩展项 604.2.9 私钥格式 654.2.10 签名格式 654.2.11 附加需求 654.3 证书撤销列表格式和规则 654.3.1 版本号 654.3.2 证书撤销列表序列号 664.3.3 序列号和撤销日期 664.3.4 其他规定 664.4 证书请求格式和规则 664.4.1 概述 664.4.2 证书请求标准 674.4.3 证书请求消息格式 684.4.4 证书扩展属性 694.5 证书验证格式和规则 704.5.1 重要定义 704.5.2 验证方法和流程 714.6 证书设计及实例 734.6.1 证书设计规则 734.6.2 规则后续兼容 754.6.3 证书策略变化 764.6.4 吊销风险 774.6.5 资源证书实例 77第5章 RPKI签名对象介绍 825.1 概述 825.2 算法和密钥 835.2.1 算法分类 835.2.2 非对称密钥对格式 845.2.3 签名格式 845.2.4 附加规定 855.3 RPKI签名对象通用模板 855.3.1 签名对象语法 855.3.2 签名数据内容类型 855.3.3 签名对象验证 885.3.4 如何扩展成具体签名对象 895.3.5 其他需要注意的事项 90第6章 路由源授权详解 916.1 内容格式 916.1.1 概述 916.1.2 内容 926.1.3 验证 936.1.4 实例 946.2 验证授权具体应用 956.2.1 初始AS的定义 956.2.2 验证方法 956.2.3 验证过程 966.2.4 路由选择 976.2.5 授权否认 986.2.6 验证结果生命期限 996.2.7 其他注意事项 99第7章 RPKI清单详解 1007.1 概述 1007.1.1 背景 1007.1.2 内容 1017.1.3 签名规则 1027.1.4 发布库要求 1027.2 RPKI清单语法和语义 1037.2.1 清单对公用签名对象的扩展 1037.2.2 清单和文件哈希值算法 1047.2.3 实例 1067.3 清单生成和验证 1067.3.1 清单验证 1067.3.2 清单生成 1077.3.3 其他安全考虑 1087.4 依赖方如何使用RPKI清单 1097.4.1 清单状态检测 1097.4.2 清单缺失的情况 1107.4.3 有效清单缺失的情况 1117.4.4 清单版本陈旧的情况 1127.4.5 清单与发布点信息不匹配的情况 1127.4.6 清单与哈希值不匹配的情况 113第8章 证书撤销详解 1158.1 使用规范 1158.1.1 概述 1158.1.2 签发要求 1168.2 语义和语法 1168.2.1 证书列表 1178.2.2 TBSCert 列表 1188.2.3 扩展项 1198.3 CRL实体扩展 1208.3.1 原因码 1208.3.2 无效期 1218.3.3 证书签发者 1218.4 CRL验证 1228.4.1 撤销输入 1228.4.2 状态变量 1238.4.3 检测过程 123第9章 Ghostbuster记录详解 1269.1 概述 1269.1.1 背景和定义 1269.1.2 安全考虑 1279.2 Ghostbuster 记录载荷 1279.2.1 vCard规范 1279.2.2 CMS规范 1289.2.3 验证 1299.3 IANA事项 1299.3.1 对象标识符 1299.3.2 文件扩展名 1309.3.3 媒体类型 130第10章 IANA签名对象详解 13110.1 概述 13110.1.1 背景介绍 13110.1.2 AS 0 ROA 13210.1.3 告知对象 13210.1.4 签发要求 13210.2 特殊号码资源介绍 13310.2.1 保留的号码资源 13310.2.2 未分配的号码资源 13410.2.3 特殊用途的号码资源 13510.2.4 多播号码资源 135第11章 RPKI资料存储系统 13611.1 概述 13611.2 RPKI资料库发布点内容和结构 13711.2.1 概述 13711.2.2 清单 13811.2.3 CA资料库发布点 13911.3 资源证书发现资料库注意事项 14111.4 证书重签发和资料库 14211.5 使用本地缓存同步资料库 14211.6 资料库安全 143第12章 信任锚点及其定位器 14412.1 信任锚点及其发布 14412.1.1 信任锚点的定义 14412.1.2 信任锚点的发布流程 14512.2 信任锚点定位器 14512.2.1 定义 14512.2.2 语法和语义 14612.2.3 实例 14712.3 TAL的使用和安全事项 14712.3.1 检索和验证步骤 14712.3.2 安全相关 148第13章 RPKI应用场景介绍 14913.1 概述 14913.1.1 基本定义 14913.1.2 基本策略 15113.2 完全部署RPKI的应用 15213.2.1 单公告的情况 15213.2.2 聚集且更具体前缀的情况 15213.2.3 聚集且来自不同ASN更加具体前缀的情况 15313.2.4 子分配到多宿主客户的情况 15413.2.5 限制新分配的情况 15513.2.6 限制新申请ASN的情况 15613.2.7 部分限制的情况 15613.2.8 限制前缀的长度 15713.2.9 对子分配前缀长度进行限制 15813.2.10 上游服务商发起聚集的情况 15913.2.11 上游服务商发起非法聚集的情况 16113.3 部分部署RPKI的应用 16313.3.1 双亲节点不参与RPKI的情况 16313.3.2 部分子节点参与RPKI的情况 16413.3.3 孙节点不参与RPKI的情况 16513.4 资源转移使用RPKI的情况 16613.4.1 正在使用的前缀和ASN转移的情况 16613.4.2 转移在用前缀的情况 16713.4.3 转移不在用前缀的情况 168第14章 依赖方使用RPKI介绍 16914.1 路由源授权有效情况下的应用实例 16914.1.1 场景一：前缀覆盖、长度符合、AS匹配 16914.1.2 场景二：前缀覆盖、长度超出、AS匹配 17014.1.3 场景三：前缀覆盖、长度符合、AS不匹配 17014.1.4 场景四：前缀覆盖、长度超出、AS不匹配 17014.1.5 场景五：无覆盖前缀ROA 17114.1.6 场景六：只有AS 0 ROA为覆盖前缀ROA 17114.1.7 场景七：不覆盖前缀信息但覆盖更加具体的子集 17114.1.8 场景八：AS_SET类型其无覆盖前缀ROA 17214.1.9 场景九：单AS AS_SET、有覆盖ROA且AS匹配 17214.1.10 场景十：单AS AS_SET、有覆盖ROA但AS不匹配 17314.1.11 场景十一：多AS AS_SET且有覆盖ROA 17314.1.12 场景十二：多AS AS_SET、ROA覆盖子集 17314.2 路由源授权无效情况下的应用实例 17414.2.1 场景一：父前缀ROA被撤销 17414.2.2 场景二：自身ROA被撤销、新ROA授权其他ASN 17514.2.3 场景三：自身ROA撤销、父前缀ROA有效 17514.2.4 场景四：祖父前缀ROA撤销、父前缀ROA有效 17514.2.5 场景五：父前缀ROA过期 17614.2.6 场景六：自身ROA过期、父前缀ROA授权其他ASN 17614.2.7 场景七：自身ROA过期、父前缀ROA有效 17714.2.8 场景八：祖父前缀ROA到期、父前缀ROA有效 177参考文献 178

封面

书名:深入浅出详解RPKI

作者:秦小伟

页数:未知

定价:¥49.0

出版社:电子工业出版社

出版日期:2018-02-01

ISBN:9787121334498

PDF电子书大小:130MB 高清扫描完整版