時針轉(zhuǎn)回至10月8日，美國國會發(fā)布報告稱華為、中興可能對美國國家安全構(gòu)成安全威脅，并警告美國公司不要與這兩家中國公司有業(yè)務往來。
隨后披露的美國白宮調(diào)查結(jié)果對這種指控進行了有力的回擊：沒有明顯證據(jù)表明華為替中國政府從事間諜活動。但是這份調(diào)查報告仍表示，華為中興的設備可能存在被黑客利用的漏洞，從而對美國的網(wǎng)絡基礎設施造成危害。
一時間，華為中興“安全門”事件使得網(wǎng)絡信息安全再次成為業(yè)界討論的熱門話題。
沒有絕對的安全
其實，沒有一家設備提供商的設備是絕對安全的。
在美國眾議院特別情報委員會的報告中寫到，網(wǎng)絡給美國國家安全以及經(jīng)濟利益所帶來的威脅是一個不可規(guī)避的具有優(yōu)先級的威脅問題，基于這樣的考慮，所以建議相關公司避免選用華為中興的設備。
然而，采用了本土設備的美國網(wǎng)絡基礎設施架構(gòu)就安全了嗎?答案顯然是否定的。
作為世界上最早建立和使用計算機網(wǎng)絡的國家，美國一直將信息安全擺在美國國家安全戰(zhàn)略的高度。然而，層層保護的美國信息安全體系還是遭到攻擊。2010年11月，維基解密網(wǎng)站公布數(shù)十萬份美國外交機密文件。美國在人們心目中樹立的強大的安全保護體系印象瞬間土崩瓦解。
而且這一事件的發(fā)生并沒有使得美國的安全體系變得更為強大。維基解密網(wǎng)站繼續(xù)公布和美國相關的文件。最近的是在10月25日，維基解密網(wǎng)站當?shù)貢r間25日開始公布新一批的美國國防文件，數(shù)量達100多份。
信息安全專家、中國計算機學會常務理事、北京啟明星辰公司首席戰(zhàn)略官潘柱廷在接受記者采訪時表示：“所有的計算機和網(wǎng)絡相關產(chǎn)品都存在漏洞，沒有一家企業(yè)能夠采用相應的技術和產(chǎn)品來證明自己的產(chǎn)品是絕對安全的?！?br /> 即使美國企業(yè)思科提供的設備同樣存在諸多安全漏洞。潘柱廷向記者表示：“思科的交換機曾經(jīng)發(fā)生過漏洞，造成了很大的信息完全問題。不管是后門也好，漏洞也好，都會對網(wǎng)絡和信息安全產(chǎn)生巨大威脅?！?br /> 2010年7月，思科向用戶發(fā)出緊急通告稱，其CDS系統(tǒng)發(fā)現(xiàn)了嚴重的安全漏洞，攻擊者能夠利用這些安全漏洞任意篡改用戶密碼代碼。而今年7月11日，思科在其在官方網(wǎng)站上發(fā)布公告，旗下高端網(wǎng)真產(chǎn)品線軟件出現(xiàn)漏洞，有被人窺視的風險。
而且由于思科產(chǎn)品漏洞引發(fā)的網(wǎng)絡故障不勝枚舉。思科產(chǎn)品最近一次發(fā)生大面積故障是在一個月前，2012年9月20日，著名電信運營商AT&T的部分大客戶在亞特蘭大的ME業(yè)務出現(xiàn)故障，部門區(qū)域電話/互聯(lián)網(wǎng)中斷長達3小時，造成網(wǎng)絡中斷的原因，就是思科的核心路由器7600出現(xiàn)了故障。
而思科的設備在中國出現(xiàn)大面積故障的情況則可以追溯到2005年7月12日。當時，承載著200萬用戶以上的北京網(wǎng)通ADSL和LAN寬帶網(wǎng)，突然大面積中斷，事故大約影響了20萬北京網(wǎng)民。
甚至連安全企業(yè)RSA也在去年遭遇黑客攻擊。報告稱，RSA被一種業(yè)內(nèi)稱之為高持續(xù)性威脅的復雜網(wǎng)絡攻擊，會導致一些秘密信息從RSA的SecurID雙因素認證產(chǎn)品中被提取出來。RSA客戶包括一些大軍事機構(gòu)、政府、各種銀行及醫(yī)療和醫(yī)保設備。同樣，安全廠商賽門鐵克也曾發(fā)生過用戶數(shù)據(jù)泄露的事件。
可以看到，即使是安全廠商也不能保證他們的設備便是完全可靠的。
那么在全球使用最為廣泛的微軟Windows操作系統(tǒng)和Office辦公軟件安全嗎?答案也是否定的。國外媒體報道，一直以來，對于大多數(shù)消費者和企業(yè)用戶來講，微軟Windows操作系統(tǒng)的安全都是一個噩夢。為了確保企業(yè)使用Windows操作系統(tǒng)的安全性，包括賽門鐵克、邁克菲、趨勢科技在內(nèi)的安全廠商都推出了豐富的解決方案。
而如今，網(wǎng)絡安全已經(jīng)從固網(wǎng)延伸至智能終端上。去年三月初，Android出現(xiàn)一系列的惡意應用軟件，這些應用軟件可竊取用戶數(shù)據(jù)和未得手機主人確認許可下“撥出”電話或發(fā)昂貴的短信。由于該問題在技術上沒有找到好的解決辦法，谷歌Android官方應用商店不得不宣布將56款包含木馬的手機應用下架。
網(wǎng)絡戰(zhàn)時代來臨，信息安全提至國家層面
繼陸地、海洋、天空和太空之后，戰(zhàn)爭已經(jīng)進入了第五空間：網(wǎng)絡空間。美國總統(tǒng)奧巴馬已經(jīng)宣布，美國的數(shù)字化基礎設施屬于“國家戰(zhàn)略資產(chǎn)”，并任命微軟的前安全總管霍華德·施密特(Howard·Schimidt)作為網(wǎng)絡安全總指揮。2010年5月，五角大樓成立了一個新的網(wǎng)絡司令部(Cybercom)，擔任領導的是國家安全局局長基思·亞歷山大(Keith·Alexander)將軍，他的任務是開展“全方位”行動——以保衛(wèi)美國的軍事網(wǎng)絡和攻擊他國的系統(tǒng)。
網(wǎng)絡戰(zhàn)會是什么樣?負責反恐和網(wǎng)絡安全的白宮前幕僚理查德·克拉克(Richard Clarke)在他的書中設想了十五分鐘之內(nèi)造成的災難性破壞。計算機病毒讓軍方的Email系統(tǒng)癱瘓;造成煉油廠和輸油管道爆炸;空中交通管制系統(tǒng)癱瘓;貨運和城市鐵路列車出軌;金融數(shù)據(jù)被涂改;美東電網(wǎng)斷電;軌道衛(wèi)星運轉(zhuǎn)失控。隨著食物緊缺，資金鏈斷裂，整個社會很快分崩離析。最糟糕的是，攻擊者的身份一直成謎。
由網(wǎng)絡安全公司McAfee發(fā)表的“虛擬犯罪報告”稱，這一切已經(jīng)從科幻小說變成了現(xiàn)實。該報告警告說，網(wǎng)絡攻擊對國家的基礎設施有“破壞性的”影響，電網(wǎng)、供水系統(tǒng)和金融市場都處在危險之中。
因此，近年來，美國對網(wǎng)絡安全的研究和實踐已經(jīng)處在全世界非常前沿的位置。“所以，華為中興事件不是孤立的，而是美國對網(wǎng)絡安全、網(wǎng)絡戰(zhàn)爭的持續(xù)性思考和實踐背景下做出的動作。華為中興事件不僅僅是一種慣性的主動防御也更具有美國先發(fā)制人的意味?！睒I(yè)內(nèi)專家分析。
美國已經(jīng)成為最為積極和深度使用網(wǎng)絡戰(zhàn)的國家。據(jù)了解在過去數(shù)年伊朗的核工業(yè)網(wǎng)絡和核心設施持續(xù)遭遇到來自網(wǎng)絡病毒的攻擊和破壞便是美國主導的。2012年6月，美國和以色列官員最終承認和證實，雙方對伊朗采用了網(wǎng)絡戰(zhàn)武器(Stuxnet、Duqu、Flame病毒)。Stuxnet病毒又稱為“震網(wǎng)”病毒，一直潛伏在伊朗核設施中所使用的西門子設備，該病毒已經(jīng)輾轉(zhuǎn)侵入核設施離心機的工業(yè)軟件，長達一年沒有被發(fā)現(xiàn)，感染了伊朗至少6萬臺計算機。
安全專家分析，“震網(wǎng)”病毒不像普通的病毒木馬，需要非常專業(yè)的專家和資金投入才能研發(fā)出來，可以說是美國精心制造的網(wǎng)絡武器。專家提醒，美國可能還擁有更多的網(wǎng)絡武器，有些可能早已潛伏進美國之外的各種設備中，等待喚醒。
而我國一旦遭遇“網(wǎng)絡戰(zhàn)”，或?qū)⒃斐煞浅乐氐暮蠊＿@是因為，我國的網(wǎng)絡基礎設施大部分依賴思科、微軟和英特爾美國企業(yè)提供。
據(jù)了解，思科占據(jù)了中國電信163骨干網(wǎng)絡70%以上的份額，把持著163骨干網(wǎng)所有的超級核心節(jié)點和絕大部分普通核心節(jié)點;更是占據(jù)了中國聯(lián)通169骨干網(wǎng)80%以上的份額，把持著所有超級核心、國際交換節(jié)點、國際匯聚節(jié)點和互聯(lián)互通節(jié)點。與此同時，我國的計算機系統(tǒng)等設備幾乎全部采用英特爾的芯片，而操作系統(tǒng)和辦公軟件則依賴微軟提供。
更嚴重的是，在密碼后門、加密算法及協(xié)議設計等方面，思科IOS系統(tǒng)卻有著鮮為人知的缺憾和威脅。2010年的黑帽大會上，IBM互聯(lián)網(wǎng)安全系統(tǒng)公司的研究人員Tom Cross論證說，黑客可輕易的利用思科IOS操作系統(tǒng)中的后門，對路由器進行管理配置，進而將整個網(wǎng)絡置身于未知的風險中。
而且在現(xiàn)網(wǎng)思科路由器產(chǎn)品中，使用的乃是上世紀70年代的加密算法DES(數(shù)據(jù)加密標準)。這種算法是1972年由美國IBM公司研制確定的，并已經(jīng)被多次證明不再安全，即使一臺普通的PC機，也能夠在10分鐘內(nèi)完成DES算法的破解。
不僅如此，思科在協(xié)議報文的認證中，使用的也是DES算法，而這種極易被破解的算法，很容易造成用戶密碼的泄露，進而對用戶安全造成威脅。
帶有如此硬傷的網(wǎng)絡設備，正在維系著中國現(xiàn)網(wǎng)的運轉(zhuǎn)，由此不難想象，我國網(wǎng)絡安全已然到了緊要時刻。
潘柱廷指出：“中國的骨干網(wǎng)的接入設備大部分采用是的思科的設備，思科是目前世界上網(wǎng)絡設備主要廠商之一，掌握著核心技術，而一旦發(fā)生安全問題，中國的信息網(wǎng)絡會全面癱瘓，后果不可小覷”。
因此，華為中興“安全門”事件也發(fā)出警示：我國政府必須把信息系統(tǒng)安全問題提到關系國家安全和國家主權(quán)的戰(zhàn)略性高度。
據(jù)了解，“9·11”之后，美國政府很快設立了專門的總統(tǒng)網(wǎng)絡空間安全顧問，就信息安全問題向總統(tǒng)直接匯報。對照我國，一直以來，而中國的信息安全則是由信息安全部門負責。
中國計算機學會秘書長、CCF YOCSEF創(chuàng)始人杜子德表示：“中國在國家安全上，應該學習美國，重視中國的網(wǎng)絡和信息安全問題?！?br /> 中國科學院院士倪光南則表示：“信息安全關系到一個國家的信息主權(quán)問題，我們必須自己掌握。”
建立對國外設備的安全審查制度
可以看到，網(wǎng)絡信息安全已經(jīng)成為國家安全的核心內(nèi)容和關鍵要素，并日益成為整個社會安全的基礎。因此，專家呼吁，保障通信安全應建立審查制度，從設備采購為始，對設備進行嚴格的審查，以長期監(jiān)管維護為終，進行系統(tǒng)的定期審查，才能保障中國網(wǎng)絡信息安全。
目前，華為的網(wǎng)絡設備也被大規(guī)模運用在歐洲主流運營商中，便是基于華為和政府以及運營商之間的信任。
例如，在英國，政府與華為達成協(xié)議，采取了初步措施來解決問題，建立了擁有獨立管理權(quán)的信息安全評估中心(CSEC)。CSEC獨立管理對華為在英國部署的電信基礎網(wǎng)絡設備和軟件的安全評估，并將評估的結(jié)果提供給英國的運營商和政府。英國政府的目的是試圖減少華為在英國關鍵的電信基礎網(wǎng)絡中部署的產(chǎn)品帶來的威脅。
微軟為了表明系統(tǒng)的安全性，也與多個國家的政府簽署源代碼授權(quán)查看條約。例如，我國早在2003年便成立了中國信息安全產(chǎn)品測評認證中心源代碼查看實驗室，通過協(xié)議規(guī)定的方式查看微軟公司W(wǎng)indows操作系統(tǒng)的源代碼，進行信息安全方面的研究。
潘柱廷建議，可由中國信息安全測評中心出面，參照調(diào)查微軟的方式，查看思科設備的源代碼并存檔。
此外他建議：“參照英國等國家的做法，要求思科遵循國際通用準則，由第三方機構(gòu)做出評測，并提交安全報告?！?br /> 據(jù)了解，這個國際通用準則被稱為“信息技術安全評價通用準則”(The Common Criteria for Information Technology security Evaluation，CC)。CC已經(jīng)成為國際主流的安全評價標準，被多個國家應用。
潘柱廷表示：“我們并不主張中國政府效仿美國國會的做法，而是希望能夠積極引入第三方測評工作，保證我國信息系統(tǒng)的安全?！?br />
來源：通信產(chǎn)業(yè)網(wǎng)