中國的網(wǎng)絡(luò)空間主權(quán),從未面臨現(xiàn)在這樣的嚴(yán)峻考驗(yàn)和挑戰(zhàn)。
回望過往,人們會發(fā)現(xiàn),中國面對的網(wǎng)絡(luò)主權(quán)挑戰(zhàn),與過去長達(dá)數(shù)十年的信息安全威脅一脈相承。只不過,過去的威脅隱藏于水下。如今,“棱鏡門”將遮羞布悉數(shù)扯掉,潛藏的安全威脅再無遁形,中國的網(wǎng)絡(luò)安全就如同“玻璃人”一樣,看似華麗,實(shí)則脆弱。
在網(wǎng)絡(luò)空間被視為繼陸、海、空、天之后的“第五空間”后,如何應(yīng)對來自少數(shù)國家的網(wǎng)絡(luò)安全威脅,保衛(wèi)“第五空間”的安全,已成為許多國家的共同目標(biāo)。
在與國際社會共同呼吁并制定網(wǎng)絡(luò)空間新規(guī)則的基礎(chǔ)上,如何在觀念、法律、政策、技術(shù)、產(chǎn)業(yè)等方面,升級自己的治理和發(fā)展思路,確保國家網(wǎng)絡(luò)安全?
脆弱的安全防線
多處“致命傷”使得中國的網(wǎng)絡(luò)安全形同一位“玻璃人”,不僅透明,而且脆弱。
1994年4月20日,當(dāng)中國通過“NCFC工程”接入因特網(wǎng)64K國際專線,正式連接國際互聯(lián)網(wǎng)時(shí),很少有人能想像到,網(wǎng)絡(luò)在今天會給中國帶來如此巨變。
20年過去,當(dāng)人們津津樂道于中國網(wǎng)絡(luò)規(guī)模之巨時(shí),決策層亦提出了建設(shè)網(wǎng)絡(luò)強(qiáng)國的戰(zhàn)略目標(biāo)。
這與全球的網(wǎng)絡(luò)空間新形勢有莫大關(guān)聯(lián)。隨著網(wǎng)絡(luò)和信息化技術(shù)對現(xiàn)實(shí)社會、經(jīng)濟(jì)和政治的滲透和重構(gòu)日益加深,網(wǎng)絡(luò)空間已然成為大國博弈的新場地。
一些西方國家利用手中的網(wǎng)絡(luò)主導(dǎo)權(quán),正在采取各種手段,從他國網(wǎng)絡(luò)獲取情報(bào)信息或硬性摧毀,以實(shí)現(xiàn)其國家戰(zhàn)略目標(biāo)。
在此背景下,中國建設(shè)網(wǎng)絡(luò)強(qiáng)國的根基之一——網(wǎng)絡(luò)安全,卻嚴(yán)重滯后于網(wǎng)絡(luò)技術(shù)和信息產(chǎn)業(yè)的發(fā)展。
中國網(wǎng)絡(luò)信息核心技術(shù)和關(guān)鍵設(shè)備嚴(yán)重依賴他國;國家從部門到行業(yè)到個(gè)人的整體安全意識薄弱;網(wǎng)絡(luò)新技術(shù)和應(yīng)用模式在國內(nèi)大規(guī)模普及,大量數(shù)據(jù)和信息單方面流向美國等西方發(fā)達(dá)國家,信息失衡問題日趨嚴(yán)重
這些“致命傷”,使得中國的網(wǎng)絡(luò)安全防線既透明,又脆弱。
一流網(wǎng)絡(luò)規(guī)模,四流防御能力
中國已成為名符其實(shí)的網(wǎng)絡(luò)大國。數(shù)據(jù)顯示,截至2013年底,中國網(wǎng)民規(guī)模突破6億人,手機(jī)用戶超過12億,擁有400萬家網(wǎng)站,電子商務(wù)市場交易規(guī)模達(dá)10萬億元。
“這就是當(dāng)前的趨勢,網(wǎng)絡(luò)安全進(jìn)入國與國對抗博弈的‘大玩家’時(shí)代。”中國工程院院士倪光南說,當(dāng)前全球網(wǎng)絡(luò)威脅的主體,已由娛樂性黑客轉(zhuǎn)變?yōu)榫哂袊冶尘暗膱F(tuán)體性黑客,這些攻擊者組織更強(qiáng)大,計(jì)劃更充分,破壞力更強(qiáng)。
在此背景下,全球已有50多個(gè)國家出臺網(wǎng)絡(luò)安全或信息安全戰(zhàn)略和政策。
以美國為例,作為全球網(wǎng)絡(luò)主導(dǎo)者,早就制定了完善的網(wǎng)絡(luò)空間安全國家戰(zhàn)略,并奉行“以攻為主、先發(fā)制人”的網(wǎng)絡(luò)威懾戰(zhàn)略,將網(wǎng)絡(luò)情報(bào)搜集、防御性網(wǎng)絡(luò)行動和進(jìn)攻性網(wǎng)絡(luò)行動確立為國家行動。
同時(shí),這種國家級、有組織的網(wǎng)絡(luò)攻擊日趨復(fù)雜,呈現(xiàn)由“軟攻擊”向“硬摧毀”轉(zhuǎn)變的趨勢,網(wǎng)絡(luò)空間對抗日趨激烈。
倪光南指出,被披露由美國主導(dǎo)的2011年網(wǎng)絡(luò)攻擊伊朗核設(shè)施的“震網(wǎng)”事件表明,美國已經(jīng)具備了入侵他國重要信息系統(tǒng)、對他國實(shí)施網(wǎng)絡(luò)攻擊的能力。
中國同樣不乏被攻擊的案例。除了2013年曝光的“棱鏡門”,2014年3月,“棱鏡門”曝料人斯諾登再次透露,美國國家安全局自2007年開始,就入侵了中國通信設(shè)備企業(yè)華為的主服務(wù)器;2014年5月19日,美國司法部更是以所謂的“網(wǎng)絡(luò)竊密”為由,起訴5名中國軍人。
面對他國咄咄逼人態(tài)勢,南京瀚海源信息科技公司董事長方興指出,中國一流的網(wǎng)絡(luò)規(guī)模卻只有四流網(wǎng)絡(luò)安全防御能力。2012年1月,美國“安全與國防議程”智囊團(tuán)發(fā)布報(bào)告,將全球23個(gè)國家的信息安全防御能力分為6個(gè)梯隊(duì),中國處于中下等的第4梯隊(duì),網(wǎng)絡(luò)與信息系統(tǒng)安全防護(hù)水平很低。
其中一個(gè)重要原因,是中國重要信息系統(tǒng)、關(guān)鍵基礎(chǔ)設(shè)施中使用的核心信息技術(shù)產(chǎn)品和關(guān)鍵服務(wù)依賴國外。
相關(guān)數(shù)據(jù)顯示,全球網(wǎng)絡(luò)根域名服務(wù)器為美國掌控;中國90%以上的高端芯片依賴美國幾家企業(yè)提供;智能操作系統(tǒng)的90%以上由美國企業(yè)提供。中國政府、金融、能源、電信、交通等領(lǐng)域的信息化系統(tǒng)主機(jī)裝備中近一半采用外國產(chǎn)品。基礎(chǔ)網(wǎng)絡(luò)中七成以上的設(shè)備來自美國思科公司,幾乎所有的超級核心節(jié)點(diǎn)、國際交換節(jié)點(diǎn)、國際匯聚節(jié)點(diǎn)和互聯(lián)互通節(jié)點(diǎn)都由思科公司掌握。
中國工程院院士沈昌祥認(rèn)為,目前中國對國外產(chǎn)品的安全隱患和風(fēng)險(xiǎn)尚不清楚。而出口中國的關(guān)鍵設(shè)備都被美國備案,美國掌握著中國重要信息系統(tǒng)使用產(chǎn)品和設(shè)備的清單,對產(chǎn)品和設(shè)備的漏洞、后門等十分清楚。
“掩耳盜鈴”的內(nèi)網(wǎng)安全
除了關(guān)鍵基礎(chǔ)設(shè)施核心技術(shù)缺失,在受訪專家看來,中國網(wǎng)絡(luò)安全更容易被忽視的隱患,來自被過度信賴的內(nèi)部網(wǎng)絡(luò)物理隔離系統(tǒng)。這個(gè)隱患,在軍隊(duì)、黨政機(jī)關(guān)、關(guān)鍵領(lǐng)域重點(diǎn)企業(yè)等領(lǐng)域更為嚴(yán)重。
內(nèi)部網(wǎng)絡(luò)系統(tǒng)的物理隔離一直被認(rèn)為是保障網(wǎng)絡(luò)和信息安全的重要手段,也是網(wǎng)絡(luò)系統(tǒng)最底層的保障措施。在傳統(tǒng)觀念中,只要不和外界網(wǎng)絡(luò)發(fā)生接觸,內(nèi)網(wǎng)隔離就能從根本上杜絕網(wǎng)絡(luò)威脅。
但《財(cái)經(jīng)國家周刊》記者發(fā)現(xiàn),事實(shí)并非如此,中國不少重點(diǎn)行業(yè)和黨政部門的網(wǎng)絡(luò)信息安全防御被所謂的內(nèi)網(wǎng)隔離扎成了虛假安全的“竹籬笆”。
奇虎360公司曾對中國教育系統(tǒng)、航空公司、司法機(jī)構(gòu)等100多家重點(diǎn)行業(yè)關(guān)鍵企業(yè)和機(jī)關(guān)部門的內(nèi)部網(wǎng)絡(luò)進(jìn)行測試,結(jié)果網(wǎng)絡(luò)全被攻破,最長的耗時(shí)三天,最短的30分鐘。
沈昌祥牽頭進(jìn)行一項(xiàng)課題研究發(fā)現(xiàn),中國半數(shù)以上重要信息系統(tǒng)難以抵御一般性網(wǎng)絡(luò)攻擊,利用一般性攻擊工具即可獲取大多數(shù)中央部委門戶網(wǎng)站控制權(quán)。
造成這種問題的首要原因是網(wǎng)絡(luò)安全意識淡薄。知名網(wǎng)絡(luò)安全專家杜躍進(jìn)介紹,中國重點(diǎn)企業(yè)及政府部門中,不少單位的機(jī)房管理員就是本單位的網(wǎng)絡(luò)安全負(fù)責(zé)人。
在安全意識淡薄之下,黨政部門和重點(diǎn)行業(yè)的網(wǎng)絡(luò)信息安全過度依賴物理隔離手段。啟明星辰首席戰(zhàn)略官潘柱廷指出,由于隔離網(wǎng)系統(tǒng)升級不及時(shí),整體保護(hù)意識低,致使內(nèi)部網(wǎng)絡(luò)物理隔離事實(shí)上漏洞百出,一些單位隔離的內(nèi)部網(wǎng)絡(luò)木馬病毒橫行。
奇虎360公司的另一項(xiàng)檢測發(fā)現(xiàn),中國100多萬個(gè)網(wǎng)站中,65%左右有漏洞,近30%是高危漏洞,“基本上你只要下功夫,這個(gè)站就能被拿下”。
根據(jù)斯諾登公布的材料,美國掌握了100多種方法可攻破物理隔離的內(nèi)部網(wǎng)絡(luò)系統(tǒng)。
如在“震網(wǎng)”事件中,伊朗的核設(shè)施雖然進(jìn)行了物理隔離,但美國仍利用高級漏洞,通過U盤擺渡等手段,入侵了內(nèi)網(wǎng),最終破壞了鈾濃縮機(jī)。
除了網(wǎng)絡(luò)安全意識淡薄,一些地方網(wǎng)絡(luò)安全防護(hù)重設(shè)備購置、輕后期服務(wù)的做法,也加劇了中國網(wǎng)絡(luò)安全體系的脆弱性。
奇虎360公司首席技術(shù)官譚曉生介紹說,在網(wǎng)絡(luò)安全防護(hù)方面,國家雖然推行了安全等級和分級保護(hù)的眾多規(guī)定,但部門和重點(diǎn)企業(yè)單位更多用設(shè)備購置來滿足安全分級要求,安全后期服務(wù)沒有常態(tài)化。這導(dǎo)致安全防御設(shè)備使用成效低下,無法及時(shí)監(jiān)測內(nèi)部安全態(tài)勢,完成系統(tǒng)升級等服務(wù)。
網(wǎng)絡(luò)數(shù)據(jù)“大出血”
與基礎(chǔ)設(shè)施和內(nèi)網(wǎng)系統(tǒng)的技術(shù)防線漏洞相比,網(wǎng)絡(luò)數(shù)據(jù)和信息流失帶來的安全問題則更加隱蔽。
隨著云計(jì)算、物聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)、大數(shù)據(jù)、智能化等網(wǎng)絡(luò)信息化新興應(yīng)用持續(xù)拓展,未來中國網(wǎng)絡(luò)安全威脅將持續(xù)擴(kuò)大。這使得中國大量數(shù)據(jù)和信息單方面流向西方發(fā)達(dá)國家的問題更加嚴(yán)重,信息失衡將成為未來更為主要的安全威脅。
網(wǎng)絡(luò)信息安全企業(yè)安天實(shí)驗(yàn)室首席技術(shù)官肖新光認(rèn)為,微軟的操作系統(tǒng)、英特爾的芯片、思科的交換路由產(chǎn)品等為代表的美國IT產(chǎn)品基本統(tǒng)領(lǐng)了前二十年全球信息化進(jìn)程。
未來20年,加上谷歌、蘋果、Facebook、推特等其他美國科技企業(yè)所提供的先進(jìn)、方便的互聯(lián)網(wǎng)服務(wù),全球網(wǎng)絡(luò)信息都向美國單方向聚合,形成了巨大的信息鏈流失風(fēng)險(xiǎn)。
以第三方信息安全服務(wù)的數(shù)據(jù)信息容災(zāi)備份領(lǐng)域?yàn)槔?,美國正在這個(gè)領(lǐng)域形成壟斷。
國家安全戰(zhàn)略研究中心信息技術(shù)與安全研究所副所長王標(biāo)說,賽門鐵克、IBM、惠普等美國企業(yè)壟斷了全球的75%的市場份額,也占據(jù)了中國政府80%的容災(zāi)備份市場份額,中國大量政府部門的網(wǎng)絡(luò)信息數(shù)據(jù)由此渠道單向流入美國。
與此同時(shí),隨著智能手機(jī)、平板電腦的快速普及,移動互聯(lián)網(wǎng)安全形勢不容樂觀,帶來的數(shù)據(jù)信息泄露更為突出。
肖新光說,谷歌的安卓智能手機(jī)移動操作系統(tǒng)占中國智能手機(jī)用戶比例的60%以上。復(fù)旦大學(xué)的一份調(diào)查顯示,安卓系統(tǒng)300多款應(yīng)用軟件中,58%存在泄漏用戶隱私行為,其中25%的程序還將泄漏的信息進(jìn)行加密,使得確認(rèn)其內(nèi)容和傳送目的地非常困難。而移動互聯(lián)網(wǎng)絡(luò)開放式接入帶來的信息泄漏威脅更為直接和廣泛。
中國大量信息數(shù)據(jù)單向流向美國,帶來的直接后果就是讓美國獲得運(yùn)用大數(shù)據(jù)分析中國政治、經(jīng)濟(jì)、社會的最新動態(tài)和趨勢的能力。
潘柱廷說,通俗點(diǎn)描述,就是美國人比中國人還了解中國人在干什么。利用強(qiáng)悍的大數(shù)據(jù)分析,美國甚至可以比中國政府更清楚更早地知道,某地或某個(gè)中國群體在做什么、未來的想法是什么,等等。
網(wǎng)絡(luò)安全專家、Ucloud公司董事長季昕華認(rèn)為,這種信息失衡后的大數(shù)據(jù)大規(guī)模挖掘和分析結(jié)果,具有戰(zhàn)略級的政治、軍事、商業(yè)、社會信息情報(bào)價(jià)值,“在未來的網(wǎng)絡(luò)安全攻防對抗中,信息失衡將比技術(shù)失衡更可怕。”