安全慎用“拿來(lái)主義”

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

魔高一尺，道高一丈

安全問(wèn)題在信息技術(shù)領(lǐng)域一直是“熱點(diǎn)”，層出不窮且威力越來(lái)越大的“魔 ”—— 惡意用戶的攻擊手段變化多端，病毒木馬造成的危害不斷升級(jí);作為安全軟件的“道”也是見(jiàn)招拆招升級(jí)不斷，新產(chǎn)品推陳出新。結(jié)果是防火墻越砌越高、入侵檢測(cè)越做越復(fù)雜、惡意代碼庫(kù)越做越大，安全投入不斷增加、維護(hù)與管理更加復(fù)雜、信息系統(tǒng)的使用效率大大降低。

一般用戶夾在“魔”、“ 道”爭(zhēng)斗中深受其害。而作為國(guó)家重要部門的金融、政府、軍隊(duì)、通信等來(lái)說(shuō)，這場(chǎng)爭(zhēng)斗還涉及國(guó)家安全。因?yàn)樾畔踩诵募夹g(shù)BIOS、操作系統(tǒng)等都掌握在外國(guó)公司手里，信息產(chǎn)品“后門”的隱患普遍存在。

由老三樣(防火墻、入侵監(jiān)測(cè)和病毒防范)為主要構(gòu)成的傳統(tǒng)信息安全系統(tǒng)以防外為重點(diǎn)，把過(guò)多的注意力放在對(duì)服務(wù)器和網(wǎng)絡(luò)設(shè)備的保護(hù)上，而忽略了對(duì)終端的保護(hù)，且其采用的封堵辦法特征是已發(fā)生過(guò)的滯后信息，不能科學(xué)預(yù)測(cè)未來(lái)的攻擊和入侵。

有別于傳統(tǒng)的安全技術(shù)，可信計(jì)算技術(shù)從終端開(kāi)始防范攻擊，它通過(guò)在計(jì)算機(jī)硬件平臺(tái)上引入安全芯片架構(gòu)來(lái)提高系統(tǒng)的安全性。其目的主要是通過(guò)增強(qiáng)現(xiàn)有的 PC終端體系結(jié)構(gòu)的安全性來(lái)保證整個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的安全，意義就是在計(jì)算機(jī)網(wǎng)絡(luò)中搭建一個(gè)誠(chéng)信體系，每個(gè)終端都具有合法的網(wǎng)絡(luò)身份，并能夠被認(rèn)可，而且終端具有對(duì)惡意代碼，如病毒、木馬等有免疫能力。在這樣的可信計(jì)算環(huán)境中，任何終端出現(xiàn)問(wèn)題，都能保證合理取證，方便監(jiān)控和管理。增加可信密碼模塊的可信計(jì)算機(jī)可以實(shí)現(xiàn)：抵御病毒攻擊、識(shí)別假冒平臺(tái)、盜取密鑰不可行、受保護(hù)數(shù)據(jù)拷不走等功能。如果用比喻說(shuō)明：傳統(tǒng)的安全體系如銀行的一般粗放式管理體系，很難完全防范呆壞賬發(fā)生，而可信技術(shù)體系類似與信用社會(huì)里的信用管理體系。

近年來(lái)，體現(xiàn)終端安全思想的可信技術(shù)已成為發(fā)展信息安全的重要理念，建立自主可信計(jì)算平臺(tái)被專家們認(rèn)為是有望從根本上解決信息安全問(wèn)題的“濟(jì)世良方”。 而涉及可信計(jì)算的標(biāo)準(zhǔn)之爭(zhēng)也成為影響國(guó)家安全及整個(gè)產(chǎn)業(yè)發(fā)展的重中之重，是“拿來(lái)主義”還是“自主創(chuàng)新”?

“獨(dú)立自主”勢(shì)在必行

國(guó)際可信計(jì)算組織(TCG)是專門致力于制定可信計(jì)算標(biāo)準(zhǔn)的非營(yíng)利性機(jī)構(gòu)，它從安全的BIOS、安全的硬件、安全的操作系統(tǒng)、安全的網(wǎng)絡(luò)連接等PC平臺(tái)的各個(gè)方面入手來(lái)重新構(gòu)建一個(gè)可信的計(jì)算機(jī)平臺(tái)標(biāo)準(zhǔn)，作為安全產(chǎn)業(yè)基礎(chǔ)的TCG標(biāo)準(zhǔn)將滲透到IT每個(gè)領(lǐng)域：PC平臺(tái)(臺(tái)式和筆記本)、手機(jī)平臺(tái)、可信網(wǎng)絡(luò)接入及應(yīng)用中間件、服務(wù)器平臺(tái)、存儲(chǔ)系統(tǒng)、應(yīng)用軟件等所有環(huán)節(jié)。

TCG在計(jì)算機(jī)系統(tǒng)中廣泛使用的是基于硬件安全模塊(TPM)安全技術(shù)，其不依賴上層的操作系統(tǒng)而獨(dú)立工作，以TPM為核心來(lái)建立PC各模塊間的信任鏈，使PC平臺(tái)整體的安全性得到顯著提高，可以說(shuō)TPM是未來(lái)基礎(chǔ)設(shè)施中的基礎(chǔ)部件。

盡管TCG是非營(yíng)利性機(jī)構(gòu)，TPM的技術(shù)也是開(kāi)放的，但由于掌握核心技術(shù)的仍是Microsoft、Intel、IBM等國(guó)際巨頭，因此采用TCG標(biāo)準(zhǔn)的安全設(shè)備會(huì)使國(guó)家信息安全面臨巨大威脅。

據(jù)IDC2007年年初預(yù)測(cè)(全球PC市場(chǎng))：筆記本08年70%裝配TPM ，到10年將達(dá)100%;臺(tái)式機(jī)08年40%裝配TPM，到10年將達(dá)96%。中國(guó)可信計(jì)算平臺(tái)標(biāo)準(zhǔn)是采用TCG標(biāo)準(zhǔn)還是建立自己的標(biāo)準(zhǔn)關(guān)系著產(chǎn)業(yè)的安全與發(fā)展前景，對(duì)未來(lái)影響深遠(yuǎn)。

對(duì)可信計(jì)算標(biāo)準(zhǔn)是采用“拿來(lái)主義”還是獨(dú)立自主發(fā)展?國(guó)內(nèi)產(chǎn)業(yè)界、學(xué)術(shù)界發(fā)出共同的心聲：必須要建立獨(dú)立自主的可信計(jì)算技術(shù)體系和標(biāo)準(zhǔn)。從安全戰(zhàn)略方面分析： TPM安全芯片是支持所有IT系統(tǒng)的根基，它在一定程度上還涉及國(guó)家主權(quán)問(wèn)題，信息主權(quán)如同國(guó)家的領(lǐng)空領(lǐng)地權(quán)一樣重要，因?yàn)橐粋€(gè)國(guó)家產(chǎn)生的信息，經(jīng)濟(jì)地理信息，人口經(jīng)濟(jì)數(shù)據(jù)是要受國(guó)家的嚴(yán)格控制保護(hù)的。如果采取國(guó)外TPM技術(shù)，我們國(guó)家的安全體系就會(huì)控制在別人手上，中國(guó)將來(lái)的標(biāo)準(zhǔn)計(jì)算機(jī)上產(chǎn)生的所有信息對(duì)外國(guó)人來(lái)說(shuō)不存在秘密，這樣安全技術(shù)的主導(dǎo)權(quán)、產(chǎn)業(yè)的主導(dǎo)權(quán)就更談不上了，另外我們肯定要為該專利買單。只有我們擁有獨(dú)立自主的可信計(jì)算技術(shù)體系，為國(guó)家信息安全基礎(chǔ)建設(shè)打下堅(jiān)實(shí)基礎(chǔ)，才能保證未來(lái)我們有能力、有辦法保護(hù)秘密，保護(hù)主權(quán)。只有掌握這些關(guān)鍵技術(shù)，才能提升我國(guó)信息安全核心競(jìng)爭(zhēng)力。

自主創(chuàng)新推動(dòng)產(chǎn)業(yè)進(jìn)程

目前正是可信計(jì)算技術(shù)和產(chǎn)業(yè)形成期，建立創(chuàng)新型的自主可信技術(shù)標(biāo)準(zhǔn)并推動(dòng)產(chǎn)業(yè)化，也是中國(guó)IT企業(yè)走向IT核心技術(shù)領(lǐng)域的一個(gè)重大發(fā)展機(jī)遇。

未來(lái)，將在中國(guó)政府的倡導(dǎo)下，打造我國(guó)可信計(jì)算技術(shù)產(chǎn)業(yè)鏈，形成和完善中國(guó)可信計(jì)算標(biāo)準(zhǔn)。目前，中國(guó)可信計(jì)算研究核心成員已涵蓋產(chǎn)業(yè)鏈上下游主要企業(yè)，包括：聯(lián)想、兆日、瑞達(dá)、中興集成電路、衛(wèi)士通、江南所、吉大正元、同方、中科院軟件所、方正集團(tuán)、長(zhǎng)城電腦、國(guó)防科技大學(xué)、同方微電子等13家國(guó)內(nèi)民族 IT企業(yè)和重要科研院所。而2007年底我國(guó)可信密碼模塊TCM芯片的問(wèn)世，以及《可信計(jì)算密碼支撐平臺(tái)功能與接口規(guī)范》、《含有密碼技術(shù)的信息產(chǎn)品政府采購(gòu)規(guī)定》等法規(guī)政策的頒布，都為解決目前的安全難題打下堅(jiān)實(shí)基礎(chǔ)。

總而言之，“拿來(lái)主義”的核心是取其精華，去其糟粕，但何謂精華?有一個(gè)甄別的過(guò)程。在安全信息領(lǐng)域最主要的還是國(guó)家的主導(dǎo)權(quán)，決不能因?yàn)榫A而犧牲整個(gè)產(chǎn)業(yè)的自主權(quán)。信息安全領(lǐng)域的拿來(lái)主義要慎行!（IT專家網(wǎng)）