| 出版日期：2003-11-10 总期号：1265 本年期号：84 |
|
 |
信息安全 新思维
马文方 信息产品的复杂性决定了信息安全问题的普遍存在，信息安全问题不仅国外软件会有，从技术上看国内软件也会有；不仅Windows会有，Linux、Unix都会有；不仅软件会有，硬件也可能会有。产品的复杂性决定了信息安全问题是不可能彻底排除的，我们所能做的就是将它的风险降低到用户所能接受或者容忍的程度。国际合作无疑是信息安全领域一种新的探索，因为了解是信任的前提，而信任在信息安全中至关重要。 “加强国际合作，借助国际领先厂商的技术和经验，迅速提高我国信息安全的技术水平，”是10月16日在由中国信息安全产品测评认证中心、公安部第三研究所、《光明日报》信息化周刊共同举办的“倡导国际合作，促进国家信息安全”研讨会上传递出的信息。与会专家认为，国际合作正成为加强和完善信息安全工作的一种新探索。 信息安全问题普遍存在 信息安全“不是光对视窗提出的问题，其他所有产品都有同样的要求。”公安部第三研究所所长严明说，“国内的软件同样也会有缺陷的，当然也会对信息安全产生影响。现在是视窗应用在低端比较广泛，而且目前遭受到了比较集中的病毒和黑客的攻击，所以成为人们谈论的焦点。” 事实上，当软件复杂到一定程度时，软件质量上的缺陷是不可避免的。严明介绍说，有关专家曾经介绍过，国外文献表明，统计学意义上，现有的软件产品平均每8000～10000行程序就可能会有一个缺陷，这种说法得到了大多数人士的认可。当然，这与具体的编程水平、企业的管理水平、测试工具的完善程度等都有关联。在目前的软件业，大家都承认软件存在缺陷还是不可避免的，缺陷如果在“适当”的位置起“适当”的作用时就可能带来安全问题，缺陷就成为漏洞；如果漏洞是有意识做的，那就应该叫作后门了。无论国内还是国外的产品，在软件开发生产的技术和质量管理上的规律是一样的，因此，当然不能说：微软的产品才有漏洞，其他的产品没有漏洞，国外的产品才有漏洞，国内的产品就不会有漏洞。 研讨会结束后，记者又通过电子邮件向严明所长提了个问题：由于Windows在我国应用的广泛性而带来安全信任的问题。从另一方面讲，在众多关键部门应用的是Unix而不是Windows，因此，从应用的重要性看，我们为什么不对Unix提出类似的要求？ 严明答复说：“我认为政府和各界所讨论的安全问题，不仅仅是针对微软和视窗的，而应具有普遍的意义。”他还表示，除了软件，网络、通信甚至芯片都可能存在信息安全隐患，“只是芯片的检查更加困难些，我们应当重视并做好这方面的工作。” 微软带了个头 今年9月，根据年初代表中国政府的中国信息安全产品测评认证中心就微软的“政府安全计划（GSP）”签署了相关协议，中国信息安全产品测评认证中心源代码查看实验室成立，首批7家签约单位获准按照协议规定的方式在该实验室内查看微软操作系统的源代码。此前，微软还与公安部第三研究所联合建立了“信息安全技术联合实验室”。 “为什么要进行合作？归根结底，就是如果我们的用户在使用我们产品的过程当中，安全能够得到保障，感到放心，这实际上对我们是非常有利的。这是一个很简单的驱动力量。”微软大中华区战略合作部总经理龚定宇表示。 中国信息安全产品测评认证中心副主任陈晓桦博士对此评价说，微软GSP希望通过查看源代码的方式来增强各国政府的信心，而国内在信息技术应用上有些地方需要用Windows操作系统作为一个基础的平台；在这样的背景下，不管是受控的方式还是受限的方式，有一个途径来了解微软系统的安全性都是很好的契机，而且通过开展这样的合作，能够与微软就安全性的问题进行更广泛的研究，而不仅仅是Windows平台。 “这应该是在信息安全方面与国外企业合作的一个先例，到现在为止，我仍然认为它是积极的。”严明评论道。 在研讨会上，记者就感受到了查看源代码的需求。国家计算机网络入侵防范中心首席科学家许榕生说，计算机取证是目前网络安全很重要的一部分，可以消解以往被动防范的不利。而要想知道计算机做了些什么，做了之后又改动了什么，则必须在查看源代码的基础上进行分析。 “我们希望国际上更多的IT公司和中国政府进行更多的合作。”陈晓桦表示。事实上，源代码查看实验室属于测评认证中心，而微软只不过是第一个进行合作的厂商。陈晓桦透露，已经有不止一家国外知名的数据库厂商正在与该中心进行合作洽谈。 未来这种合作可能不仅仅体现在意愿上，更多可能是强制性的。“按照国际惯例,我国的信息安全测评认证，经一段时间的运作，相应产品进入流通领域时将逐步实施强制性监督管理，即：不通过认证不得销售和使用。”这句话摘自中国信息安全产品测评认证中心刊载的《信息安全测评与认证》一文。 万事开头难 微软GSP引发了业界和学术界的争论，有种观点认为，Windows程序长达五千万行左右，对能否读懂持异议。 “有许多专家提出这么多源代码不易读懂等问题。但是，如果不让看的话，肯定就没有后面这些问题，所以要迈出第一步。”龚定宇解释说，除了提供源代码外，微软还要提供查看源代码的工具，可以分段看，也可以搜索和查询。微软有积极的责任来帮助签约厂商找到它所需要看的内容，这里面有大量的技术工作要做。“如果我们所有厂家都能够积极来配合政府对信息安全的要求，大家会共同受益的，政府信息安全单位也能够受益。我们希望能够牵动一个业界的整体行动。” “源代码能不能看懂，或者安全性怎么样，我觉得这个是要通过实践以后，才能做出更多的判断，现在还不是下结论的时候。”陈晓桦说。 中国信息安全产品测评认证中心主任吴世忠博士在源代码查看实验室接牌仪式上表示，除了查看源代码外，还将组织相应的专家对这次的源代码协议所代表的职责和关键之处进行共同的研究和分析，甚至还会组织专家就具体研究中提出的问题，一起去微软总部进行研究和交流。“这是一项长期的计划。目前进展的是第一步，我相信大家看了第一步以后，后面还会有我们稳健的第二步、第三步、第四步。”吴世忠博士表示。 9月下旬，陪同微软19位副总裁来华访问的原微软中国公司法务总监、现在微软总部负责GSP的刘凤鸣告诉记者，中国不仅是第一批与微软就GSP签约的国家之一，而且，微软与中国有关方面在GSP方面达成的协议也成为规范被微软推广到其他国家。 信息安全新动向 就在今年7月公安部三所与微软合建“信息安全技术联合实验室”后不久，“冲击波”病毒席卷全球。严明表示：“这似乎印证了我在6月份一次病毒研讨会上的一个估计。我感觉，有的病毒制造者已经不是单纯地为表现自己，单纯地发泄对企业、对社会、对某一部分人的不满。当时我提出今年的病毒可能会出现商业化的趋势。这个意思有两个：一是可能会出现枪手，受雇于某位需要者来为其制造病毒，去攻击被害者；第二个意思就是说可能会有一些个人、企业和管理者用病毒来达到自己目的，我讲的是商业目的，而不是政治目的。当时觉得而已，有点妄估，没想到应验得这么快。” 严明还分析了病毒的一个新动向。严明说，“冲击波”病毒的第五个版本很有意思，病毒说它会消掉它以前的版本，而且它自己会在今年的12月31日把自己删除掉。在一次研讨会上，也有人提出能不能以毒攻毒，用同样的技术跟踪、消灭病毒。严明明确表示，公安部门对此持否定态度，因为一是这种“病毒”已经具备病毒的特征，二是这种“病毒”非常容易被改造而变异。 链 接 2002年6月，微软在CEO鲍尔默来华期间与当时的国家计委签署合作计划。 2003年2月，微软在董事长盖茨来华期间与代表中国政府的中国信息安全产品测评认证中心就微软的“政府安全计划（GSP）”签署了相关协议。中国成为微软GSP计划全球第一批签约国家之一。 2003年7月，公安部第三研究所与微软（中国）有限公司联合成立“信息安全技术联合实验室”。 2003年9月，中国信息安全产品测评认证中心源代码查看实验室在北京正式成立，公安部第三研究所等国内7家承担政府信息安全项目的首批签约单位,可以协议规定的方式查看Windows的源代码。 |
||||||||||||||||||||||||||
