互聯網安全相關的常識問題_風聞

互聯網大家天天在用，近來出現了一些關於互聯網國家主權與安全的爭議。有對中國提出警示的如“中國沒有互聯網，只有美國的因特網”。有關於技術標準的，如IPv4、IPv6、IPv9，這些網絡名詞對中國的互聯網主權有什麼意義。還有關於技術細節的，如有記者報導”全球電子郵件都要到美國轉一圈“，這是真的麼？還有對美國攻擊中國互聯網的疑問，是不是美國可以關掉中國的互聯網？

即使是有相當知識水平的人，對於天天在用的互聯網，也容易產生誤解。例如不少人會以為，IPv6與IPv4的區別，就是IP地址從4個數字升為6個，這種理解其實錯大了。

要明白這些問題，首先是名詞不要混。在本文中，互聯網是泛指各種按網絡連接標準連結出來的網絡系統，可以有多個。Internet或者“因特網”，指的是目前全球互相連接在一起的大網，本文稱為“全球大網”。因為一般公眾用的網絡就是因特網，所以有時互聯網和因特網會被當成一回事。但是也有一些特別的網絡，是獨立的，和因特網分離的，如軍網、公司內網。

令牌環網

其實幾台機器用網線連接起來，理論上就能組個“局域網”，可以聯網打遊戲對戰了。當然這是互聯網早期時代的事，後來乾脆都連到全球大網上去了。如果是幾台機器，聯網就很簡單，所有信息都廣播出去發給所有人就行了，和你無關的就扔掉拉倒，就和一夥人在屋裏聊天一樣。這種“全連接”的技術實現最簡單，但是規模一大就不經濟了。然後再從這個簡單模型開始，優化出各種網絡結構。如星形網絡，所有節點都只連到中心節點，什麼信息都由中心節點轉發。再如令牌環網，環形網上有個令牌，交給各個平權的節點，持有令牌的才能説話，往環網上發數據。用現在的通信概念來理解，這個“令牌”就相當於“控制信道”，説話就相當於“數據信道”。

這些聯網技術發展下來，越來越複雜，經過多種標準的變遷，終於在1990年代成熟了。某種程度上來説，標準雖然複雜了，但是做事簡單了。只要買來幾種聯網設備，網線、交換機、網卡、路由器之類的，就可以建一個網絡了。大約1994、1995年左右，中國各大學校園就開始挖地埋線建網，沒有什麼困難，都組網成功了。這其實是很了不起的事，這相當於説，不需要專家，互聯網就可以推廣了，應用傻瓜化了。當然能建起網的人還是需要一些專業技能的，但沒多難。就和裝電腦一樣，電腦是高科技，實用的電腦軟件要寫出來也不容易，但大學裏很多小夥子都學會了裝機，有了一門讓女生崇拜的手藝。互聯網雖然一直飛速發展，但是基礎和90年代差不多，人們能發現的重要變化是加入了無線，如無線網卡、無線路由。

那年頭，各地建起了很多“局域網”。這些局域網即使完全與外部隔絕，內部也是可以互相通信的，如發電子郵件。有一些ip地址，如192.168.0.1，到現在人們還經常用到，如設置wifi路由器時要用。在很多相互獨立的局域網裏，有很多節點的ip都是192.168.0.1，完成一樣的功能，因為不相干，所以ip一樣也不衝突。

對於一個機器來説，其實可以同時處於多個獨立的網絡中。例如機器的某個IP叫192.168.1.101，這是某個“內網”的IP地址，如屋內幾個機器和wifi路由器組的小無線網，所有機器包括路由器的IP都是192.168.1.XXX的樣子，前三位一樣，有時沒弄好還會告訴你IP地址衝突了。全球其實有無數機器都有一樣的“內網”IP地址，因為是一樣的網絡結構，只不過互相獨立。可以肯定的是，內網是完全可以獨立運作的。就算你家裏的網絡壞了，連不到外面，但是無線路由器開着，仍然可以手機、電腦都連上它，然後互相倒文件。例如你要把一個小説文件從電腦上傳到手機上某種閲讀器裏，這個閲讀器就會説，請你在電腦瀏覽器上輸入http://191.168.1.100：10123就能上傳文件了，不需要外網。

一個機器連到“外網”，會同時還有另一個IP比如叫202.96.128.166。這是指在全球大網中的地址，世界各國很不相同，但是又有規律。以前中國的機器基本都是202開頭的，因為分配的就是這個“字段”，而美國一個大學就能有一個字段，美國佔有的IP資源遠多於中國，這和全球大網發展歷史有關。在windows的cmd裏，輸入”ipconfig /all”，就可以看到各種IP了。

這個IP地址就是互聯網的核心概念，或者説理解互聯網最好的起始點。為什麼給機器分配一個IP地址，它就能和其它IP地址網絡通信了，這很神奇，是計算機學界多年發展出來的研究成果，但概念上就這麼簡單。你要和一個網絡節點通信，最簡單的就是在cmd裏輸入”ping XXX.XXX.XXX.XXX”，對方就會給出回應，告訴你兩個節點之間是通着的，通信延時是多少，或者不通。有時發生了意外，某些地址就ping不通了，那更復雜的訪問肯定就不行了。如果能理解ping的機制，複雜的互聯網應用無非就是數據多一些，概念是一樣的。

其實互聯網通信理解起來不難。比如有人説，我要搗亂，給風雲學會會長袁嵐峯工作單位的IP地址發信息，我來ping 218.22.21.25 （微尺度國家研究中心互聯網訪問主機的IP地址）。在電腦上發出這個指令，你的機器看到這個地址，説我發到無線路由那去。無線路由説，這不是內網的地址不歸我管，我交給外網最近的“網關”去。外面的網關根據這個地址，很容易明白是發到再上級的網關，還是發到下級網關，直到進入目標主機。218.22.21.25收到信息，就給回應，再原路返回（或者找個新路也可能），發回你這個機器。這和快遞分發其實差不多，我們查淘寶上的“物流信息”，能看到説包裹到哪哪了，中間會有很多“網關”一樣的分發節點。

1977年，整個互聯網的拓撲圖（美國的ARPANET）

理論上，我們只要輸入這種“IP地址”，就能完成互聯網訪問。有一些應用其實就是這樣的，直接讓你輸入數字的IP地址。但是數字IP地址難記，微尺度國家實驗室需要www.hfnl.ustc.edu.cn這樣的字母（有時也有數字）組成的“域名”，真的象人類的快遞地址一樣了，什麼國家、哪個單位、哪個部門。在前面那個域名中，cn就是指中國，edu就是教育部門包括各大學，ustc是指中國科學技術大學，hfnl就是微尺度國家研究中心。域名中間有數個“．”，最少一個點就可以，前面的www其實不加也行，如中國政府網gov.cn。但各種域名，對應的都是四個數字的IP地址。

其實機器的IP地址是可能變的，網絡結構調整會動態分配。但是域名這個機制不錯，IP地址變了不要緊，反正別人也是用域名來訪問的，只要網絡系統裏的“域名解析”做對了就行。這個域名解析，是個挺重要的事，我們稍一想就知道，這可不是不同內網裏IP地址重合了不要緊，域名是不能重合的，而且是個全球事務。所以，如果只談IP地址通信，那可以各種內網、局域網隨便玩，用不着全球統一管理。如果要談域名，我們就需要引入國家概念，引入互聯網政治相關的概念了。

我們在windows機器上輸入”ipconfig /all”，會看到“DNS服務器”這麼個東西，它有一個202.96.134.133這樣的地址。其實深圳的很多機器，都會發現自己的“DNS服務器”地址是這個，它就是深圳的域名解析服務器，DNS是Domain Name Server的縮寫。你可不可以換一個“DNS服務器”？可以！比如你抱怨説，深圳這個DNS機器老出問題，太爛了，我換成廣州的DNS服務器202.96.128.143，這是可以的。你打入一個www.hfnl.ustc.edu.cn這樣的地址，這個字符串就會被髮給你選用的DNS服務器（用IP地址通信的方法發的），這個服務器會負責找出這個字符串對應的IP地址，然後你再和目標IP地址用IP通信的方法傳送信息。所以，你ping 218.22.21.25，這個就直接訪問了，如果你輸入的是ping www.hfnl.ustc.edu.cn，那這個命令會先由DNS服務器處理一通。

那麼，一個DNS服務器的本事有多大？是不是全世界任何一個域名，它都能獨立找出對應的IP地址？我們想一想就知道，這是不可能的。全球各種域名地址有幾十億個了，都放進一個機器會有麻煩。一是重複，如果所有DNS服務器都象區塊鏈節點一樣有全部“域名賬本”，這種“去中心化”非常浪費。更重要的是，域名不斷在增加與註銷，要通知全球所有DNS服務器更新賬本，去中心化是極為低效的架構，全球DNS要同步賬本得煩死。所以肯定得層級管理，要中心化。例如，深圳的DNS看到www.hfnl.ustc.edu.cn，雖然hfnl.ustc看不懂，但是edu.cn一看就明白，不就是中國的教育分部麼，交給上級DNS就行了。上級DNS一看，ustc.edu.cn，扔到ustc的DNS那去查。ustc的DNS一看，hfnl我知道，是微尺度國家研究中心的，IP地址我這有，就給出了答案，原路傳回給深圳的DNS。這樣，各級DNS各司其職，統一將全球的域名都解析得好好的，是個高效的中心化機制。

我們這提到了“上級DNS”的概念，那就出來一個問題了，上級也可能有上級，最後是個啥？最後就是根服務器！再沒有上級了，到這就是根了，是頂級了。到這，我們終於繞不開美國了。由於歷史的原因，全球最頂級的根服務器在美國。一開始，只有美國有互聯網，所有DNS服務器，包括最頂級的DNS服務器當然都在美國。別的國家連進來，有兩種選擇，一種是接入美國這個網，自己弄一個次頂級DNS服務器（這是所有國家的選擇），另外一種是自己建一個頂級DNS服務器。第二種選擇美國會説，你可以這麼幹，但那是你自己的網，甚至也可以拉別的國家來；但我美國和已經加入我的其它國家，和你的網會有衝突，技術上會亂套，只好互相不連了。因為這種“路徑依賴”，人們雖然覺得美國佔了大便宜，但也沒辦法，只好讓美國當根服務器。

其實，根服務器可以不只一個，事實上有13個。但是這13個功能全都一樣，你用到根服務器時，找近的一個查到了就行。互聯網訪問非常多，一個根服務器頂不住，開多個是必須的。但是這13個不能互相矛盾了，得有一致性，就是和在美國的“主根服務器”保持一致。美國的主根內容更新了，就會同步到其它12個輔根去。12個輔根其實也有9個在美國，歐洲2 個（英國瑞典各一個），還有1個在日本。

那這種架構，美國確實能大佔便宜，不僅名義上地位高。比如域名層級分配，中國的大學是XXX.edu.cn，美國的就直接是XXX.edu，少了一級。再比如IP地址分配，美國的網建的早，已經將大段地址佔掉了，只留下些邊角地址分給其它國家。再比如，美國説我維護這個根服務器要錢啊，這麼重要的互聯網服務不能免費，你們各國用了我提供的服務，得根據流量交錢。再比如，對於外面來的服務請求，是不是一視同仁？如果按“網絡中立”原則，不分用户大小，用户來自哪國，都應該一樣，按公平原則服務，不要故意延遲。但是美國內部在吵，要放棄“中立”，大客户優先，或者美國優先。

對這個事情，要平衡觀察。一方面，確實要注意，現在這個“全球大網”，美國有特殊優勢，能佔到不小的便宜。但是另一方面，也不能過分誇張，其實就是域名解析根務器的事，出於實際考慮放在美國。不能誇張成，什麼服務都要經過美國了，電子郵件都要跑到美國去，這從技術上説不通。發個電子郵件，理論上郵件地址有可能到美國的根服務器去解析，但是IP地址解析完了，郵件內容就可以找合適路徑傳輸了，不需要到美國。如果硬的網絡線路要經過美國，那沒辦法，郵件內容也會到美國。但從軟的體系結構來説，只是郵件地址解析要訪問美國根服務器的概率大一些。如果美國把互聯網體系真設計得這麼笨，郵件等數據內容也要到美國去，那線路會堵得不得了，學術上更會被噴死。

我們不排除有可能性，美國公司搞的硬件網絡設施做了手腳，一些內容會偷偷發到美國。但是基於IP的網絡體系結構是公開透明的，誰都可以看標準搞明白，不可能有這種設計。IP體系結構的理念是，互聯網是“強壯”的，缺了誰都行，只要還有線路連着都能通信。如果不要域名服務，那根本不需要“根”，節點可以儘量平等。

當然，域名服務由於歷史的原因，極端偏向美國，這是很不公平。最突出的矛盾就是各國地址不夠用了，美國佔着那麼多IP地址沒用，別的國家卻擠爆了，特別是中國。四個數字的IP地址，如202.96.128.143，每個位置256種可能，一共才不到43億個，比世界人口還少，是真不夠分。而且老早就不夠了，要找美國要地址。這種事都是由ICANN（InternetCorporation for Assigned Names and Numbers）管理，原來叫IANA （Internet Assigned Numbers Authority）。這個IANA是個和美國政府簽了合同的管理機構，是個合同工。升級成ICANN以後，理論上是全球事務非營利機構，但是還是受美國影響極深，當初美國佔的IP要讓出來，很麻煩。

其實美國克林頓政府1998年直接説，因特網是美國搞出來的，各國加進來，就得服美國管！ 這種赤裸裸的網絡霸權主義當然遭到了世界各國的反對。這實在説不過去，美國就讓合同商IANA轉型成ICANN，給出了“路線圖”，理論上同意互聯網要全球平等，但是由於歷史因素，美國還是得負責一段時間。到2009年，ICANN從美國政府獨立了。2016年10月1日，美國商務部將互聯網域名管理權，完全移交給了ICANN，解除了合同關係。理論上來説，ICANN是一個全球共治的管理機構，美國不再有特殊地位。

公平地説，一方面要看到由於歷史因素，警惕美國在全球大網中的特殊地位，提防美國利用特殊地位搞事。另一方面，也不要一味地只説美國的壞話，要看到全球各國的共同呼聲，看到世界各國對美國網絡霸權主義的鬥爭成果，積極參與到ICANN的全球共治框架裏，實現世界各國網絡主權平等。

ICANN一個重大成果，就是IPv4升級到了IPv6。我們看202.96.128.143這種地址，它是4個0-255的數字，用計算機的術語説，一個數字佔8個比特，四個數字就是32個比特，一共有2的32次方等於42.9億種組合。IPv4升級到IPv6，很多人常見的誤解是，4個數字的IP我熟，是不夠用；升級到6個數字了，一舉增多65536倍到281萬億種組合，真是夠用了，IPv6太好了。錯！這種理解小看了IPv6。這個IPv6説的是“互聯網協議第六版”，不是6個數字。其實IPv6的一個地址，是128個比特，相當於16個0-255的數字組合，有2的128次方即3.4乘以10的38次方個組合。有一種説法是，IPv6可以給地球上每一粒沙子一個IP地址，那麼6個數字對應的那個281萬億是不夠的，16個數字對應的10的38次方才夠。

其實IPv6早在數年前就已經推行開來了。並不是某天ICANN發公告説，全球IPv4切換成IPv6了，大家全部升級！想想技術細節，就知道這不可能，全球互聯網用户的機器沒法統一行動。唯一可行的選擇是，一個機器，既支持已經有的IPv4，又可以支持新的IPv6，慢慢增加IPv6地址的數量。也就是説，一個機器，除了內網的192.168.1.101這種地址，以及202.96.128.143這種IPv4地址，還新多出來一個IPv6地址，如：

2001:0:9d38:953c:1442:170f:3f57:fe9a（注意，這是128個比特）。

為了支持這個IPv6地址，其實我們機器裏的軟件也發生了變化。比如我們看windows裏的網絡選項，看TCP/IP，會發現除了IPv4，還多支持了一個IPv6。只不過一般人沒注意，機器系統軟件自動更新都幫做了。從概念上來説，其實我們的機器，有一個無線路由器管的內網；也有一個美國主根服務器管的IPv4版的“全球大網”；還有一個IPv6版的“升級版全球大網”，算是ICANN管的。只不過這幾種網，共用了一些硬件設備，IPv4或者IPv6網絡體系，是這些硬件設備上的邏輯概念。

IPv6當然也需要域名解析DNS服務器，這和IPv4一樣的，只不過能用的IP地址多了，也會有多台根服務器。那麼IPv6的根服務器是什麼情況？

IPv6的根服務器多了，有25台！2016年，這25台在中國、美國、日本、印度、俄羅斯、德國、法國等全球16個國家完成了部署。中國有四台，分別在北京、上海、廣州、成都。放在美國的比中國還少，是三台，印度也有三台。這25台中有三台主根，分別在中國、美國、日本。可以看出，IPv6根服務器的分佈要公平多了，相比IPv4，更能體現全球共治互聯網的理念。IPv6這25台，加上IPv4的13台，就是全球互聯網的核心機器了。一些文章裏提到了“雪人計劃”，就是中國推動的，在全球部署25台IPv6根服務器的工程計劃。中國負責的機構叫“下一代互聯網國家工程中心”。

但是要注意，這個“雪人計劃”，以及建成的IPv6根服務器體系，實際上是一個“測試驗證”，從工程規模以及應用頻率上，還不能和IPv4相比。雖然IPv4的根服務器只有13台，但是下面的各級DNS服務器非常多。到2017年8月，25台IPv6根服務器在全球範圍內累計收到2391個遞歸服務器的查詢，這説明整個規模並不大。IPv4的體系已經很成熟了，發展出了很多優化用應的辦法，如各機器會備份DNS查詢的結果。IPv6還談不上，處於開局階段，應用不多，優化開發還沒有深入。

現在支持IPv6的網站還不夠多。據《2017 IPv6支持度報告》，目前全球排名前50的網站支持IPv6訪問的有42%，我國排名前50的網站裏僅1家支持穩定的IPv6訪問。也就是説，全球網站還是更把自己當成IPv4網的成員，對於IPv6不夠重視。IPv4網可以説是全球最重要的基礎設施之一，沒有不行；IPv6網還只是一個測試性的網絡，沒有也不太影響全球經濟。利好消息是，由於手機、PC的終端軟件更新很快，支持IPv6的終端操作系統達到了90%。這是因為手機升級快，PC操作系統軟件更新也較為容易。但是家庭無線路由器需要更新，支持IPv6的還不多。當然以後IPv4地址逐漸枯竭，人們不得不轉向IPv6，各種IPv6的軟硬件逐漸準備好了，如物聯網大規模應用上來了，IPv6的網絡規模應該會超過IPv4。

有時新聞裏還會出現IPv9，這個事就有點糊塗。在國際上，IPv4、IPv6是説互聯網協議版本，作為互聯網協議的IPv9也是有的，1992年提出來了。這個IPv9並不是IPv6的後續高級版本，而是90年代初大家就發現IPv4地址不夠用，同時提出了幾個新的選擇，IPv6、IPv7、IPv8、IPv9都有。IPv9算是和IPv4、IPv6不同的一種選擇，目前看只是理論研究，從理論上來説在低碳環保上有優勢。

中國新聞裏出現的IPv9，就會經常提到“十進制網絡”。可以肯定，這是中國特色的IPv9，和國際上的IPv9不是一回事。而中國研究者提出的“十進制網絡”，是借了IPv9的名，實質就是“十進制網絡”。説實在的，有些高深莫測，也引發了一些爭議。這個十進制網絡，是説除了數據是二進制，其它全部用0-9的數字來做。域名是0-9的數字組合，中英文全不要，網卡物理地址也全用數字，不要字母。為了支持十進制網絡，一些網絡軟硬件設備要改一下，如DNS服務器要改。個人感覺，這個研究比較偏門，不可能成為IPv6這樣的全球通用協議，只能算是某種特別的選擇，據説可以幫助保密，比如某些特殊部門的機器裏，多了一個“IPv9十進制網絡”協議。從科研意義上看，這個十進制網絡，也只是表面上的，其實內在邏輯仍然是二進制的，根本上來説只是加了一個編碼協議，軟硬件創新不大。這個應用做出來，會是一種小眾的偏門應用，似乎沒有多大的理論意義。如果説有積極意義，通過研究十進制網絡，能理解網絡體系是怎麼回事，要改哪些設備才能把十進制域名跑起來。其它的意義看不太出來。個人感覺這種網絡協議研究，還是應該象華為公司在國際上推Polar碼一樣，到國際會議上去推行標準，而非自己做一個別人不可能接受的古怪網絡。

以上介紹了互聯網基於IP尋址信息傳輸的基礎知識，介紹了IPv4、IPv6、IPv9的基本常識。個人認為，中國的IPv9可以不用太關注，是個奇怪的非主流。IPv4是美國主導的網絡體系，美國佔了很大便宜，但是各國也有鬥爭。IPv6是IPv4之外的一個新選擇，技術上已經成熟了，而且不是美國主導了，由各國共同主導。但是IPv6需要在市場份額上大幅躍升，才能取代IPv4的主流地位，現在IPv6還只是實驗性的網絡。

美國會在佔優的IPv4體系上搞什麼花招，中國要如何防備，就需要了解更多網絡入侵攻防的專業知識，軟硬件非常複雜。為此，中美兩國在網絡設備上經常發生較量，美國不讓用華為的設備，中國也怕美國公司裝在中國的網絡設備有後門。但是IPv4、IPv6本身是公開透明的網絡體系結構，理解起來不難，不應該過多牽扯進這些爭議裏。

有了這些基礎知識，下面就可以回答一些流傳的具體疑問，例如下面這幾個問題就是很多人關心的。

1. 美國到底能不能給中國斷網？或者説，美國能對中國的網絡造成什麼樣的損害？

2. 如何防禦美國的網絡攻擊？中國有沒有反制的手段？

3、IPv6的主根服務器有三台，它們之間如何保持同步？會不會導致混亂？主根服務器的持有者是不是有損害其他國家的潛在能力？

4、斷網對於美國來説是最笨的一招，我們可以理解了。但美國如果真的用這最笨的一招，那麼中國會怎麼做？會很快啓動自己的根服務器，恢復網絡服務嗎？會不會導致國外的域名不能更新？如果恢復網絡很容易，為什麼朝鮮、利比亞、伊朗就被斷了網？為什麼美國可以隨便修理這些小國，對中國就不能用這種笨招呢？

提問：美國到底能不能給中國斷網？或者説，美國能對中國的網絡造成什麼樣的損害？

回答：美國給中國斷網，有兩種方式，一種是明招，一種是黑招。

明招就是上文説的根服務器，不給中國提供域名解析服務了，或者胡亂服務，中國的IPv4網絡訪問就會碰到一些麻煩。這種事其實發生過，但不是美國故意做的，而是故障。2014年1月21日，全球不少知名網站被錯誤解析指向了同一個IP地址，中國百度新浪等網站也受影響。1997年，由於根服務器錯誤地使用了空白名單，互聯網局部地區幾天之內網頁無法訪問，郵件無法發送，是歷史上最嚴重的一次事故。

如果美國決定用根服務器破壞中國的IPv4服務，是可以的，就是這些域名解析問題。但是通過前面的內容我們知道，這極不可能發生，毫無意義。首先公開這樣做，美國毫無道理，因為ICANN是個國際組織，根服務器雖然放在美國，但這麼做等於是踐踏人類社會基本規則。其次這麼做破壞力不大，無非是中國一些網站域名解析出問題，找到問題要修復並不難，換上新的根服務器就行了，還正好順勢廢掉美國的老根。我相信美國的惡意，但不相信美國人會用這麼笨的法子。如果有人説，IPv4網是美國主導的，中國會因為這個架構問題被斷網，我絕不相信。暫時出了事一些網址上不了，我也只會認為是故障，這類故障其實挺常見。

美國真正可怕的，是用黑招給中國斷網。比如説，中國主幹網絡裏有Cisco的服務器、網關之類的重要部件。我非常傾向於相信，這裏有美國人埋下的邏輯炸彈。例如，美國人發送一個特殊字串到中國，Cisco的部件檢測到了這個特殊字串，就激活進入破壞模式。據説Cisco公司有美國軍方的人不知道在幹啥，很可能就是埋邏輯炸彈。

這個破壞模式不是説不工作了，而是保持網絡不斷，但是癱瘓或者擾亂網絡，讓你根本不知道哪出了問題。鑽研這些破壞方法也是研發，能發展出各種辦法和工具。正因為美國人自己幹了，所以對華為的網絡部件特別小心，根本不讓進美國。這方面不能抱幻想，美國人肯定埋炸彈了，到時激活炸彈，中國網絡就會癱瘓，斷網只是最基本的，更可怕的事都有。

顯性的破壞是比較容易被發現的，更可怕的是不知不覺的損害。另一種大類的攻擊是數據竊密。中國的機密信息，放在網絡上，美國人在網絡基礎設施裏可能放了各種後門。比如你機器用了美國部件，用了某種加密算法，引用了一個庫函數，用美國公司開發的編譯器，這裏都可能有後門。你的密碼可能被美國人弄去了，或者美國人能用一個萬能密碼進你的系統。後果非常可怕，平時信息泄露，極端的時候會被搞破壞。比如把中國金融部門的數據庫都給整死，中國金融就遭到滅頂之災了。

其實網絡黑客們整天琢磨的就是這些，因為比較專業，討論的人不多。美國人要幹起黑客的活，破壞力不會小。美國用根服務器給中國斷網不可怕，因為架構是公開透明的，能做什麼可以想象。但是美國埋在中國的邏輯炸彈就很可怕，因為不知道是哪出事，會出多大的事。

還是得説，IPv4、IPv6這些協議是公開透明的，是客觀的。美國對中國發起網絡攻擊，相當於IPv4是戰場，對戰場越瞭解，攻防起來越有利。但是戰場本身是中立的，戰場地形研究得再清楚，戰爭的勝負還是由參戰雙方的能力決定的。不能説美國人用IPv4攻擊中國，中國用IPv6來防守。不要給這些公開透明的技術協議強行抹上政治色彩。從技術上説，如果認為美國人的“大招”只是IPv4架構或者根服務器，那就太過簡單了。

提問：如何防禦美國的網絡攻擊？中國有沒有反制的手段？

回答：中國的國家網絡安全是中國研發人員的重要課題。IPv4，IPv6只是基礎知識，專業的網絡攻防非常複雜。

第一，要對中國的網絡基礎設施進行考察，用國產的替換掉美國部件，提升安全性。

第二，重要的關鍵網絡通信應用，要從物理層面考察通信過程，避免留下可能被美國做手腳的環節，即使可疑都不行。

第三，我不知道中國有沒有做，但美國人説做了。最出名的就是藍翔技校，美國人説這裏有中國網軍，中國搞了一些人在研究網絡攻擊美國。

這些反制措施比較專業，當然要非常重視。但是對IPv4、IPv6等透明公開的協議，個人認為還是應該從全球共同治理的角度去説事，不要把美國網絡攻擊扯進來。

這裏一個值得提到的問題，就是量子保密通信，這是人類目前已知的最安全的信息傳輸方法。有許多媒體報道和所謂科普文章把量子保密通信説得令人云裏霧裏，其實這些文章都是胡扯。袁嵐峯博士寫過很多量子信息的科普文章，例如《你完全可以理解量子信息》，把量子保密通信的原理解釋得很清楚了，有興趣的讀者歡迎去閲讀。

量子保密通信的一個特點是，在密碼生成這個環節上，它是“無條件安全”的，意思是，只要做好了自己這一方該做的事，那麼敵方就絕不可能破解你的密碼，無論他有什麼樣的技術能力。傳統的密碼術就不是這樣，必須假設敵方的能力不夠強才行，所以傳統密碼術的安全性歸根結底是一種信念，而不是證明。只有量子密碼術的安全性，是得到了數學證明的。你顯然就可以看出，量子保密通信對於處於守勢的中國來説，是非常有價值的。好消息是，目前量子保密通信的技術最先進的國家，就是中國！

​

提問：IPv6的主根服務器有三台，它們之間如何保持同步？會不會導致混亂？主根服務器的持有者是不是有損害其他國家的潛在能力？

回答：搞IPv4或者IPv6這種公開透明的架構，不要總想各國互相傷害，或者有主根的傷害沒主根的這類事。各國是為了一起建一個新網絡，不是來互相害的，是為了造福人類社會。就好象世界各國共同投資造了幾個大天文望遠鏡放在幾個國家，最好不要去談怎麼拿天文望遠鏡互相傷害。討論起來也比較無聊，技術上會比較搞笑，害不了別國太多，代價卻非常大。

主根服務器完全可以多台，同步也不難，就是傳送一些數據表，不會混亂。邏輯上可以把這三台當成一台就行了，但是這一台的權力分到了三個地點。比如以前要開一個新的頂級域名，如.net，IPv4時要美國主根來做。現在IPv6了，中國、美國、日本的主根都可以做。

提問：斷網對於美國來説是最笨的一招，我們可以理解了。但美國如果真的用這最笨的一招，那麼中國會怎麼做？會很快啓動自己的根服務器，恢復網絡服務嗎？會不會導致國外的域名不能更新？如果恢復網絡很容易，為什麼朝鮮、利比亞、伊朗就被斷了網？為什麼美國可以隨便修理這些小國，對中國就不能用這種笨招呢？

回答：如果美國真的笨笨地發動了“主根攻擊”，中國網絡域名服務是會出問題。要恢復並不難，就當美國主根不存在就行了。全國所有次級DNS的上級都指向自己新造的一個主根。其實所謂“主根”，是需要下面的次級DNS承認的。別人都不承認你，都説新的機子才是主根，那就“革命成功”了。所以，如果美國用境內的主根搞破壞，別的國家就會建起新的主根。而且這也不難，因為主根上的內容其實很多機器都有備份了，方便快速訪問，不用老去查主根，只不過主根有“更新”的權力。這都是搞笑式的討論，不可能發生的。

伊朗被斷網這事，有誤解。2018年初，伊朗當局因為發生了騷亂，主動切斷了網絡。美國對伊朗發動過計算機病毒攻擊，但並不是對域名根服務器動手腳切斷伊朗的網絡。美國2013年用“震網病毒”，對大批伊朗離心機發動了攻擊，破壞伊朗的核計劃。據説，這種攻擊是離線的，伊朗的離心機其實沒聯網，但是病毒已經感染在機器裏了。以前的計算機病毒並不通過網絡傳播，而是人們拿軟盤抄來抄去，潛伏在操作系統和可執行文件裏。震網病毒發作時，伊朗離心機開動時收到大量錯誤的傳感器數據，高速轉動就大批壞掉了。

朝鮮斷網，是指2014年12月22日起，朝鮮忽然從全球大網上消失了兩天，訪問時斷時續。有人説這是美國對朝鮮發動了域名攻擊，報復朝鮮對索尼的網絡攻擊。這個攻擊是誰做的現在也不知道，但是手法不是從根服務器動手腳（我一再説了，不可能有這種笨笨的攻擊發生）。可能是有黑客，對朝鮮的重要網絡節點，發動了暴力的DDOS攻擊。就是説黑客操縱一些機器，不停地訪問朝鮮的關鍵節點，把朝鮮節點機器所有的服務時間都佔掉了，這樣別的正常訪問就沒法進行了，朝鮮網絡就癱瘓了。這個DDOS攻擊是常見的，時不時有受害者，但象朝鮮這樣，整個國家成為受害者比較少見。

利比亞斷網，和敍利亞斷網差不多，都是打仗鬧的。外界社會發現，分配給利比亞或者敍利亞的IP字段，全都無法連上了，就説“全國斷網”了。具體的原因，有的新聞説是當地政府主動切斷的，但敍利亞政府説沒切，是恐怖分子炸的。傳來傳去，有時就會誤以為是美國切斷的，其實和美國無關。

要澄清誤解，美國並沒有動用根服務器這種笨手段去對付朝鮮、伊朗、利比亞等國。這些國家斷網事出有因。不應該用小國斷網的事來營造“中國可能被斷網”的恐怖氣氛，還是應該還原事實。

美國平時是經常隨便修理小國，轟炸、禁運、封鎖。但是從網絡空間上看，美國並沒有用網絡霸權主義的明招讓小國斷網，那真是太笨了，下不了手。美國可能發動網絡攻擊、病毒攻擊，這些中國是要防備。但中美的網絡攻防總要做得有技術含量一些，不要説得太簡單，和小國不一樣。

（原載“風雲之聲”微信公眾號）