中國正在闊步走近世界舞臺中央，網絡安全的重要性與迫切性也愈加凸顯出來。“當前，網絡空間已經成為繼陸、海、空、天之后的第五大主權領域空間。網絡安全是國際戰略在軍事領域的演進，我國的網絡安全正在面臨著嚴峻挑戰。”近日，中國工程院院士沈昌祥在接受《經濟參考報》記者采訪時如此表示。他說，解決信息安全核心技術設備受制于人的問題，需要創新發展主動免疫的可信防護體系。
沈昌祥院士強調，發展可信計算技術與實施網絡安全等級保護制度是構建國家關鍵信息基礎設施、確保整個網絡空間安全的基本保障。推廣發展中國主動免疫的可信計算技術可以筑牢我國的網絡安全防線。
科學的網絡安全觀
“從科學的視角認識網絡安全，應包括三個方面的內容，即利用邏輯缺陷攻擊的網絡安全是永遠的主題、可信免疫的計算模式與結構和安全可信系統架構。”沈昌祥院士說。
網絡空間安全具有豐厚的基礎理論，它不僅是計算科學少攻防理念的問題，也是體系結構缺防護部件的問題，還是計算模式無安全服務的問題。同時，網絡空間內含是資源財富，是基礎設施，是國家主權。因此，為了利益，不法分子、敵對勢力集團和霸權國家對他方網絡攻擊也是永遠的主題。
然而，由于人們對IT認知邏輯的局限性，不能窮盡所有組合，只能局限于完成計算任務去設計IT系統，必定存在邏輯不全的缺陷，從而難以應對人為利用缺陷進行攻擊。因此，為了安全必須從邏輯正確驗證、計算體系結構和計算模式等方面進行科學技術創新，以解決邏輯缺陷不被攻擊者所利用的問題，形成攻防矛盾的統一體。確保為完成計算任務的邏輯組合不被篡改和破壞，實現正確計算，這就是主動免疫防御，防火墻、入侵監測和病毒查殺等“老三樣”封堵查殺被動防御已經過時。
主動免疫可信計算，是指計算運算的同時進行安全防護，計算全程可測可控，不被干擾，只有這樣方能使計算結果總是與預期一樣。也改變了只講求計算效率，而不講安全防護的片面計算模式。在可信支持的雙體系結構中，采用了一種運算和防護并存的主動免疫的新計算模式，以密碼為基因實施身份識別、狀態度量、保密存儲等功能，及時識別“自己”和“非己”成分，從而破壞與排斥進入機體的有害物質，相當于為網絡信息系統培育了免疫能力。
網絡基礎設施、云計算、大數據、工業控制、物聯網等新型計算環境，必須進行可信度量、識別和控制，以確保數據存儲可信、操作行為可信、體系結構可信、資源配置可信和策略管理可信。結合主動免疫的主動防御思想和等級保護的防御體系，構建可信安全管理中心支持下的主動免疫三重防護框架。該框架圍繞安全管理中心實現系統管理、安全管理和審計管理，形成積極防御體系。
通過實施三重防護主動防御框架，能夠實現攻擊者進不去、非授權者重要信息拿不到、竊取保密信息看不懂、系統和信息改不了、系統工作癱不了和攻擊行為賴不掉的安全防護效果。首先，在可信計算的主動免疫防護下，攻擊者很難入侵，即便攻進去了，由于強制訪問控制，非授權者也拿不到重要信息；即使竊取了重要數據，因為有加密保護，竊取者也看不懂。其次，攻擊者很難篡改系統和信息，系統工作不會癱瘓。最后，利用可信計算的審計功能，能發現并保護證據，使攻擊者無處可逃。
中國可信計算革命性創新
據沈昌祥院士介紹，我國為確保核心機密安全，于1992年正式立項研究主動免疫的綜合防護系統，經過長期攻關，軍民融合，形成了自主創新的可信體系（不少已被國際可信計算組織（TCG）采納），已經成為夯實我國網絡安全防線的基礎。
中國可信計算取得了革命性創新發展，主要包括：
其一，創新可信計算標準體系。2010年以前，我國完成了核心的9部國家標準和5部國軍標的研究起草工作。截至目前，已發布國家標準3部、國軍標3部，即將發布國家標準2部，已發布團體標準（中關村可信計算產業聯盟標準）4部。同時，授權專利百余項。
其二，創新可信密碼體系。以密碼為基因，構建創新可信密碼體系，科學地解決了可信密碼的問題，糾正了TCG密碼體制的缺失，已成為ISO國際標準。可信密碼體系創新包括密碼算法創新、密碼機制創新和證書結構創新三個方面。其中，密碼算法的創新在于全部采用國家自主設計的算法，定義了可信計算密碼模塊（TCM）；密碼機制的創新在于采用對稱密碼與公鑰密碼相結合，提高了安全性和效率；證書結構的創新在于采用雙證書結構，簡化證書管理，提高了可用性和可管性。
其三，創新主動免疫體系結構。可信計算以密碼技術為基礎，通過自主密碼方案、控制芯片的主動控制、主板層面的運算防護雙能、核心軟件的雙系統體系結構及三元三層可信連接等多方面創新，組成了創新的主動免疫體系結構。該體系結構克服了TCG部件TPM被動掛接調用的局限性。
其四，開創可信計算3.0新時代。隨著計算科學、體系結構的發展，可信計算經歷了幾個階段。目前，我國已經開創了可信計算3.0新時代。最初的可信1.0是基于容錯方法的安全防護措施，以世界容錯組織為代表；可信2.0是以可信計算組織（TCG）出臺的TPM1.0為標志，是被動掛接調用；可信3.0形成了自主創新的體系，具有主動免疫的可信安全架構，更科學、更合理、更有效，并在軍民融合領域得到了應用驗證。
其五，創新適用的工程技術路線。自主可信計算平臺產品設備有三種形態：系統重構可信主機、主板配插PCI可信控制卡和配接USB可信控制模塊。它可以方便地通過可信網絡支撐平臺把現有設備升級為可信計算機系統，而應用系統不用改動，便于新老設備融為一體，實現全系統安全可信。
可信計算構建了主動免疫體系，確定可信狀態后，即使有BUG也不會變成漏洞，使攻擊無效，確保安全系統運行。部署可信計算平臺后，在原有信息系統建立主動免疫的積極防御可信安全防護體系，實現高安全等級結構化保護，改變原被動防護局面。
用可信計算3.0構筑網絡安全
沈昌祥院士指出，用可信計算3.0構筑網絡安全應該包含幾個層面的內容，首先要堅持自主可控、安全可信。
《國家中長期科學技術發展綱要（2006-2020年）》明確提出，以發展高可信網絡為重點開展網絡安全技術及相關產品研發，建立網絡安全技術保障體系。“十二五”規劃有關重大工程項目都把可信計算列為發展重點，軍方演示驗證成果用于黨政部門。國家重要信息系統，如增值稅防偽、彩票防偽、二代居民身份證安全系統都采用可信計算3.0作基礎支撐。
中國可信計算已經成為保衛國家網絡空間主權的戰略核心技術，在國家核心系統和關鍵信息基礎設施得到規模化成功應用，并被列為國家戰略和法律要求。同時，也是世界網絡空間斗爭的焦點。美國第三次“抵消戰略”（對抗“下一代敵人”的“下一代技術”）把“高可信網絡軍事系統”等列為重點，圍繞安全可信展開新的較量。
其次，搶占網絡空間安全核心技術戰略至高點。據沈昌祥院士介紹，我國按照網絡安全審查制度成立安全審查組，按照WTO“尊重銷售國有關法律法規和有關標準”的規則，開展對WINDOWS10的安全審查。其本人堅持要遵守我國《電子簽名法》和《商用密碼管理條例》，必須進行本土化改造，其中數字證書、可信計算、密碼設備必須是國產自主的，這是底線。而且我國有完整的技術、產品和服務，完全具備國產化替代條件。
“引進必須安全可控”。要做到“五可一有”：可知，即對合作方開放全部源代碼，要心里有數，不能盲從；可編，要基于對開源代碼的理解，能自主編寫代碼；可重構，面向具體的應用場景和安全需求，對核心技術要素進行重構，形成定制化的新的體系架構；可信，通過自主的可信計算技術增強操作系統免疫性，防范漏洞影響系統安全性，使國產化替代真正落地；可用，做好應用程序與操作系統的適配工作，確保自主系統能夠替代國外產品；有自主知識產權，要對最終的系統擁有自主知識產權，保護好自主創新的知識產權及其安全，堅持核心技術創新專利化、專利標準化、標準推進市場化。要走出國門，成為世界品牌。
最后，用可信計算3.0產品和服務構筑了國家重要信息系統高安全等級防護體系。根據長期攻關、滾動發展，形成了安全可信的系列產品和服務。對于增量設備可采購可信控制芯片直接嵌入主板的方式的可信整機；對于存量設備可采用主板配插可信控制卡的方式構建免疫系統；對于不便于插卡的設備可配接USB可信控制模塊實現可信增強。以上三種方式可以方便地把現有設備構成可信計算環境、可信邊界、可信通信網絡三重防護架構。
通過可信安全管理平臺實現系統資源、安全策略和審計追蹤三權分立。科學管理再加上可信計算控制平臺提供資源可信度量、數據可信存儲、行為可信鑒別、主客體的可信認證，能及時發現異常行為和環境的非法改變，以及主要信息破壞，并立即采取措施，使攻擊無效，實現主動免疫。
我國要建設成為世界網絡安全強國
近一兩年，網絡攻擊頻發再度為網絡安全敲響了警鐘。2016年10月21日，美國東海岸（世界最發達地區）發生世界上癱瘓面積最大（大半個美國）、時間最長（6個多小時）的分布式拒絕服務（DDOS）攻擊。2017年5月12日，一款名為“WannaCry”的勒索病毒網絡攻擊席卷全球，有近150個國家受害，僅當天我國就有數十萬例感染報告。
針對近期這些典型案例，沈昌祥院士呼吁，面臨日益嚴峻的國際網絡空間形勢，我們要立足國情，創新驅動，解決受制于人的問題。堅持縱深防御，用可信計算3.0構建網絡空間安全主動免疫保障體系，筑牢網絡安全防線，為把我國建設成為世界網絡安全強國而努力奮斗。
為了解決網絡空間安全問題，我國《網絡安全法》中第十六條指出，“國務院和省、自治區、直轄市人民政府應當統籌規劃，加大投入，扶持重點網絡安全技術產業和項目，支持網絡安全技術的研究開發和應用，推廣安全可信的網絡產品和服務，保護網絡技術知識產權，支持企業、研究機構和高等學校等參與國家網絡安全技術創新項目。”近期發布的《國家網絡空間安全戰略》提出的戰略任務“夯實網絡安全基礎”，強調“盡快在核心技術上取得突破，加快安全可信的產品推廣應用”。
據沈昌祥院士介紹，可信計算在重要核心系統規模化建設方面有兩個典型應用案例。一個是國家電網電力調度系統安全防護建設。國家發改委14號令決定以可信計算架構實現等級保護四級。用可信計算構建的國家電網電力調度系統采用PCI可信卡的方式進行部署實施，實現了對已知、未知惡意代碼的免疫，實現了可信保障機制。基于D5000平臺的安全標簽，不許改動源代碼。該系統通過逐級認證實現系統的主動免疫，達到等級保護四級技術要求。目前，電力可信計算密碼平臺已在34個省級以上調度控制中心和59個地級調度控制中心上線運行，覆蓋了上萬臺服務器，確保了運行安全。
另一個是中央電視臺可信制播環境建設。中央電視臺播出42個頻道節目，面向全球提供中、英、西、法、俄、阿等語言電視節目，在沒有與互聯網物理隔離的計算機網絡環境下，構建了網絡制播的可信計算安全技術體系，建立了可信、可控、可管的網絡制播環境，達到四級安全要求，確保節目安全播出。以2017年5月14日我國舉辦的“一帶一路”國際合作高峰論壇為例，該會議是在5月12日勒索病毒網絡攻擊席卷全球的嚴峻情勢下召開的，中央電視臺可信制播環境建設經受住了極為嚴峻的考驗和嚴格的考核，保證了會議的勝利召開。
2016年，在中央網信辦、教育部的指導下，中國互聯網發展基金會網絡安全專項基金舉行了“網絡安全人才獎”“網絡安全優秀教師獎”等評選活動。其中，沈昌祥院士唯一獲評“網絡安全杰出人才”。
評獎材料是這樣對其描述的：沈昌祥，中國工程院院士，從事計算機信息系統、密碼工程、信息安全體系結構、系統軟件安全、網絡安全等方面的研究工作。先后完成了重大科研項目二十多項，取得了一系列重要成果，曾獲國家科技進步一等獎2項、二等獎2項、三等獎3項，軍隊科技進步獎十多項。這些成果在信息處理和安全技術上有重大創造性，多項達到世界先進水平，在全國全軍廣泛應用，取得十分顯著效益，使我國信息安全保密方面取得突破性進展。在網絡安全和科技創新、咨詢論證和學科專業建設、人才培養等方面做出了杰出貢獻。
沈昌祥院士說，沒有網絡安全我們將生活在黑暗中。希望今后加強安全可信的保障體系建設，加快構成我們國家的網絡安全體系，為實現網絡強國的“中國夢”而努力。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://m.hanmeixuan.com/
本文標題：沈昌祥院士的網絡“安全夢”
相關文章
