倪光南：三個例子説明網絡安全的重要性

【建設網絡強國就要爭取網絡空間鬥爭的主動權，為此，操作系統等核心技術必須使用自己研發的成果。十九大報告提出，要統籌傳統安全和非傳統安全，網絡安全屬於非傳統安全，其中就包含可控性，目前有關方面正在推行“多維度測評”，其中包括自主可控評估，這樣可以更好地保障網絡安全。

11月7日，在全球網絡安全產業創新論壇上，中國工程院院士倪光南發表了“掌握網絡空間鬥爭主動權”的公開演講。】

以下為演講原文：

今天，和大家探討中國網絡安全的狀況與網絡空間鬥爭主動權的問題。首先，目前中國的網絡整體規模上是世界的網絡大國，我們所佔的聯網人數在全世界五分之一以上。這是我們在網絡空間中的地位。

特別要提到現在物聯網的發展，物聯網聯網的設備已經超過了人口（數量）。而且還會大大發展，因為聯網的結果，使得人和人、人和萬物聯網，今後連在網絡上的人和設備的數量將會越來越大，達到幾百億甚至更多。

ITU（注：國際電信聯盟）有一個指標，即網絡安全指數。這裏不評論這個指標，只是中國同樣用這個指標來比，看到中國是在發展。2017年在ITU的指標體系中，中國已經處於第32位。

由於網絡安全的重要性，全世界已經有38%的國家發佈了網絡安全戰略，有些國家還沒有跟上，但這是大勢所趨。我舉最近網絡安全的三件大事，不一定全面，但我覺得比較重要，有不同特色。第一件，徐玉玉事件，主要反映一個民眾安全意識的問題，保護隱私的問題。第二件是關於物聯網相關病毒的問題（Mirai開啓殭屍物聯網時代），再有是勒索病毒的問題（“永恆之藍”勒索病毒全球爆發）。

第一例是徐玉玉事件。一個考取大學的女孩子由於隱私泄漏造成了悲劇，説明隱私信息的重要。這個問題的嚴重性，也喚起了全民對於網絡安全意識加以重視。我們可以看到，目前公共部門是黑客攻擊的重點，包括政府、金融、醫療等等。各種攻擊主要手段包括網站篡改、植入後門、假冒、仿冒等等。在公共部門領域我們看到網絡攻擊態勢的發展，總體來看是有增無減，所以網絡安全是一個長期的事情。

徐玉玉事件引起我們的反思，有關部門也做了針對性的改革，比如説查處非法買賣銀行卡信息，公安部進行專項整治，以及最高法、最高檢等的整治行動。説明這個問題引起了全社會的重視。

第二例子就是Mirai病毒，在其攻擊下形成了物聯網殭屍網絡，由此在2016年發生美國互聯網癱瘓事件。

從中國CNVD（注：國家信息安全漏洞共享平台）的數據可看到這類攻擊對網絡安全的重大挑戰。麻省理工科技評論認為，這些網絡攻擊是很難阻止的。中國的網絡安全公司奇虎360也收集了有關數據，顯示出問題的嚴重性。

第三個是勒索病毒對全球攻擊的影響，它波及150多個國家地區、10萬多組織機構，30萬多網民，影響規模很大。觸發點是從烏克蘭和俄羅斯爆發，迅速蔓延到全球。

這些情況使我們注意到了一個問題，就是網絡空間鬥爭的主動權問題。剛才沈院士也講到了主動防禦的問題。由於目前我們所使用的操作系統這些核心技術，往往不是我們自己研發的，所以我們會處於被動的情況。這是為什麼要提出爭取主動權的問題。因為如果事先發現漏洞，就可以做好準備。但是目前的情況，我們往往不能事先發現。像勒索病毒，往往是在發現了攻擊之後才知道有這個漏洞。而且發現了漏洞，也不是你能修補的，你沒法自行打補丁，得等待別人給你補丁。這個補丁有沒有效、是什麼機理，也説不清楚。只能“聽天由命”。這使得我們在網絡攻擊中處於被動挨打地位，喪失了主動權。

前不久我們對開源Linux操作系統中新發現的髒牛漏洞（“Dirty Cow”）進行了分析，這是很有代表性的。它是由Linux系統中存在的一個“競爭”所導致的漏洞，如被黑客利用，可以輕易地用一個小程序就獲得安卓手機的root權限。這個漏洞，在2007年以後的各個版本Linux中應該都有了，但直到去年10月份才發現。有人説開源軟件在全世界有幾百萬隻眼睛都在看，但是沒有發現，就説明這個病毒隱藏是很深的，很難被發現。它的攻擊都是通過正常的功能，所以用常規病毒檢測方法是無效的。

鑑於此種情況，今年4月，中國網絡空間安全協會召開了研討會，對這個漏洞進行研討。中國科學院大學楊力祥教授領導的團隊介紹了他們的補丁方案，對現有補丁的評估等等。為什麼要操作系統專家也來研究網絡安全？因為像這種漏洞的發現、分析及打補丁，並不是一般人能夠做的，實際上這個補丁是Linux的創始者Linus Torvalds本人打的，可見難度是很高的。

由於楊教授團隊對Linux操作系統的研究很深，有能力進行評估，他們認為，這個補丁是能解決問題的，但並沒有把“競爭”完全消除。他們自己提了一個變通方案，是將“競爭”完全消除，但要稍稍多消耗一些時間。這裏我們且不説究竟哪一個補丁更好，而是強調，正因為Linux是開源軟件，我們的專家能夠自行研究，自行分析漏洞機理，自打補丁和評估補丁。而如果是Windows那種私有軟件，源代碼不開放或不充分開放，就根本做不到。

通過這個例子希望使大家知道，保障網絡安全需要信息安全專家和操作系統專家，實現跨界融合，聯手解決問題。

上面的實例可以説明，我們要基於開源軟件發展自己的操作系統，或者完全通過創新來搞操作系統。另一種情況是：採用進口操作系統或者將進口操作系統“穿馬甲”冒充自主操作系統，在這兩種情況下，對下面的七個問題的答案是截然相反的，這就是：是否能事先發現漏洞？是否能獨立分析漏洞的機理？是否能自打補丁？是否能評估補丁效果？是否有網絡空間鬥爭主動權？是否能免除後門？是否能建設網絡強國？總之，對這七個問題，第一種情況的答案都是“是”，而後一種情況的答案都是“否”。

最後，歸結到我們的目標，按照習總書記的要求，我們要建設網絡強國。可是如果我們用別人的操作系統，或者用別人的操作系統改頭換面，能不能變成網絡強國呢？不可能。所以從我們的目標來講，未來要達到網絡強國的要求，就必須將核心技術，特別是操作系統這類核心技術，必須用自己的研發的成果，或者基於開源的，或者自己研發的。這是很清楚的。

現在我們已經制定了網絡安全法、網絡安全審查辦法等一系列的法規。十九大報告提出，要統籌傳統安全和非傳統安全，網絡安全屬於非傳統安全，其中就包含可控性，目前有關方面正在推行“多維度測評”，其中包括自主可控評估，就是針對可控性的評估方案，這樣做可以更好地保障網絡安全。

按照最近中國信息安全測評中心制訂的“中央處理器自主可控評估方案”和“操作系統自主可控評估方案”，這種評估是從“知識產權”、“技術能力”、“供應鏈安全”、“發展主動權”和“國產資質”等方面，對產品的自主可控進行全面的評估，能如實地反映中央處理器和操作系統的自主可控程度，可作為推進國產自主可控替代計劃中，選擇中央處理器及操作系統“自主可控”評估的依據，並視需求情況，將該方案擴展完善，可形成其他軟硬件產品的自主可控評估依據。