Sectigo 網誌
Open MPIC：實現安全多視角簽發佐證的開源路徑
Open MPIC 是一款開源框架，旨在協助證書頒發機構（CA）符合 CA/Browser Forum 提出的全新多視角簽發佐證（MPIC）要求。該框架由普林斯頓大學與 Sectigo 共同參與開發，透過全球分佈式驗證、法定人數邏輯與靈活部署選項，協助降低 BGP 劫持風險。Open MPIC 是一套實用、持續迭代的解決方案，可提升 WebPKI 的韌性。
證書頒發機構（CA）目前已進入合規倒數階段。
CA/Browser Forum 發布的全新基線要求——特別是第 3.2.2.9 節——將分階段落實推行多視角簽發佐證（MPIC）。這些規則旨在防範一類危險的攻擊手段：邊界網關協議（BGP）劫持。
BGP 是一套已沿用數十年的互聯網流量路由系統，但它在設計之初並未考慮安全因素。攻擊者可濫用 BGP 秘密重路由請求流量，包括 CA 使用的域名驗證檢查流量，從而創造一個短暫的時間窗口，用於仿冒網站並欺騙 CA 簽發欺詐性證書。
事實上，BGP 攻擊的危害已十分突出，就連美國政府也已對這類風險表示關注。
應對 BGP 攻擊的解決方案，是從互聯網層級架構中多個相互獨立的位置（即「多視角」）對 DNS 條目進行驗證。因此，全新的 MPIC 規則要求 CA 從全球多個觀測點驗證域名控制權與 CAA 記錄。為協助 CA 符合該要求，Sectigo 正牽頭推進 Open MPIC 的開發工作：這是一套由社區驅動的開源框架，最初由普林斯頓大學的研究人員構建。
接下來我們將深入介紹 BGP 攻擊的原理、MPIC 如何防範這類攻擊，以及 Sectigo 為 Open MPIC 生態所做的貢獻。
問題：針對域名驗證的 BGP 攻擊
當 CA 執行域名控制權檢查時，會預設自身發送的流量會抵達正確的伺服器，但實際情況並非總是如此。
BGP 劫持允許攻擊者在互聯網上秘密重路由流量。這類攻擊不會破解加密，也不會入侵伺服器——它僅僅是篡改了「道路指示牌」。如果 CA 僅從單一網絡視角執行驗證，就可能被欺騙，誤將不受申請人控制的域名認定為受其控制。
「BGP 劫持的危險之處在於，攻擊者不需要長時間劫持路由就能得手，」Sectigo 首席架構師、Open MPIC 首席架構師 Dmitry Sharkov 表示，「攻擊者可以短暫地將 CA 的驗證檢查流量分流到惡意伺服器，欺騙 CA 簽發出合法證書，隨後銷聲匿跡。整個過程只需要這些步驟。」
沙爾科夫將BGP劫持比作《職業特工隊：鬼影約章:
》中的一個場景：「兩個壞人以為自己在酒店裡和對方接頭，但其中一個實際上是在和偽裝後的湯姆·克魯斯對話。他們被身分花招誤導了。這正是BGP劫持發生時的情況——只不過被欺騙的是證書頒發機構（CA）。」
後果十分嚴重：欺詐數碼證書一旦簽發，就可被用於冒充合法網站、攔截加密流量。
解決方案：多視角簽發佐證（MPIC）
解決思路是降低數碼證書驗證對單一路由的依賴程度，這正是MPIC的核心理念。
MPIC不再從單一網絡位置驗證域名，而是要求證書頒發機構（CA）從多個地理上分散的觀測點執行檢查。如果某個區域被BGP劫持誤導，其他觀測點就能發現異常，從而阻止數碼證書簽發。
「證書頒發機構（CA）現在必須從互不相同、距離較遠的多個觀測點確認域名控制權，」沙爾科夫表示，「這不是可選要求——它正在成為行業規範。」
自2025年3月15日起，證書頒發機構（CA）需承擔相關責任，使用至少兩個遠程網絡視角監控域名驗證流程。2025年9月15日起，強制執行機制生效：要求採用法定人數邏輯，只要有一個視角驗證結果不一致，即可中止數碼證書簽發。2026年3月15日至12月15日期間，要求將進一步提高，分階段推進至使用5個地理上分散的觀測點。
目標十分明確：讓攻擊者同時騙過所有觀測點在統計上幾乎不可能實現。
什麼是Open MPIC？
Open MPIC是一款開源框架，旨在幫助證書頒發機構（CA）滿足MPIC要求，無需從零重構其驗證技術堆疊。
它最初是普林斯頓大學研究人員開發的概念驗證項目，僅包含三個用於測試MPIC可行性的Python腳本。目前，Sectigo的沙爾科夫擔任首席架構師，與聯合創始人Henry Birge-Lee、Grace Cimaszewski合作開發並維護該項目的核心庫、API規範與部署方案。
「我們不希望證書頒發機構（CA）從零開始，或者自行開發穩定性不足的解決方案，」沙爾科夫表示，「Open MPIC為他們提供了先發優勢——開源、可擴展，且可直接用於規模化部署。」
Open MPIC目前支援兩種主要部署選項：
- AWS Lambda：可自動擴縮容的無伺服器部署方案，適合希望以極低運維開支獲得快速、彈性驗證能力的證書頒發機構（CA）。
- Docker微容器：適用於需要完全控制權的場景。可部署至EC2或Kubernetes生產環境，也可使用Docker Compose進行本地測試。
內置功能包括法定人數邏輯、距離校驗與觀測點分散性保障，所有功能均符合CA/B Forum的MPIC規則。
「你現在可以將Open MPIC配置為在3個區域運行，未來也可擴展至15個區域，」沙爾科夫稱，「它支援觀測點選擇邏輯，可幫助用戶滿足觀測點間隔不低於500公里、區域註冊機構多樣性等合規要求。」
最後需要說明的是，Open MPIC並非學術試驗產物或一次性代碼倉庫。它由Sectigo與普林斯頓大學聯合維護，同時會接收其他證書頒發機構（CA）提交的主動反饋與漏洞報告。
「我們有一個活躍的Slack群組，證書頒發機構（CA）會在其中諮詢部署問題、提交issue，甚至提出新功能建議，」沙爾科夫表示，「部分貢獻者選擇匿名，但這種反饋循環已經在讓項目不斷完善。」
Open MPIC的後續規劃是什麼？
隨著越來越多的證書頒發機構（CA）準備在2025年9月15日全面強制實施MPIC，Open MPIC正為達到實際生產環境的規模要求做準備。Sharkov指出，該項目將在多個維度持續演進：性能表現、功能支援，以及對行業反饋的響應能力。
「在不遠的將來，我們會從易用性角度出發，持續針對性能、適配優化做調優，」Sharkov表示，「當包括Sectigo在內的證書頒發機構（CA）開始全量使用Open MPIC時，我們要確保它能有效承載對應的業務量。」
下一個重要里程碑之一是按照CA/B論壇基線要求後續階段的規定，支援MPIC用於S/MIME驗證。除此之外，Open MPIC定位為社區主導的靈活基礎框架，可隨整個生態共同發展。
「我們或許可以直接按當前版本投入大規模使用，但這實際取決於社區以及Sectigo在規模化運行Open MPIC過程中積累的實踐經驗，」Sharkov說，「如果要求發生變化，或是我們發現可優化的空間，我們具備充分的調整適配能力。Open MPIC本身就是為持續演進設計的。」
對開源安全的更廣泛承諾
Open MPIC為構建更具韌性的域名驗證模型奠定了基礎——在該模型下，數碼證書頒發依賴多方共識，而非對單一路徑的信任。
MPIC已不再是理論構想，而是已落地的政策要求。Open MPIC是一套可直接運行的開源框架，能夠幫助證書頒發機構（CA）無需從零開發即可落地MPIC要求。
為Web公鑰基礎設施（WebPKI）做貢獻是合規可信的證書頒發機構（CA）的核心準則。長期以來，Sectigo一直為各類開源WebPKI項目的底層共享基礎設施貢獻力量，涉及領域包括證書透明（crt.sh）、驗證規則檢查（pkimetal、zlint、certlint）以及生態工具（Certbot、CT日誌、CA交叉簽名）。Sectigo持有更多CA/瀏覽器論壇領導席位，數目超過其他所有證書頒發機構（CA），亦定期參與標準制定工作，提早落實相關標準，並協助整個生態實現大規模應用。
Open MPIC延續此工作方向，針對真實存在的安全威脅提供符合標準的實用解決方案。
如您有興趣參與Open MPIC的工程開發工作，可加入Slack工作區（openmpic.slack.com）並訂閱電郵列表.
更多資訊請瀏覽Open MPIC官網.