赵战生:信息安全保障的技术需求和发展
作者：
佚名 来源：
CCID 发布时间：2006年08月20日 点击数：
赵战生，1989年12月担任信息安全国家重点筹建组组长，1990年至1997年担任信息安全国家重点实验室主任中国科学院DCS中心主任。其后任信息安全国家重点实验室常务副主任到1999年，现任DCS中心副主任。兼任中国信息协会信息安全专业委员会副主任委员，受聘担任国家信息安全标准化委员会委员等多个单位的信息安全专家组成员。
信息安全保障从保密性、完整性、可用性、可控性、不可否认性等安全属性的需要和预警、保护、检测、响应、恢复及反击等环节提出了诸多的技术需求。IT产业和研究机构在不断地深化认识这些需求，开展自己的研究开发工作。其先知，先觉者成为了领先的头羊，强占了市场竞争的有利位置。
我国的信息化发展空前迅速，信息安全保障需求成为信息化发展的重要部分。信息安全保障的相关支撑产业需要了解需求，认清发展形势，为我国的信息安全保障作出应有的贡献。
本短文难以讲清这个大题目，仅想根据自己的认识和了解的情况从几个方面谈一点粗浅的看法。
谁来提供实用性廉价技术
2000年7月，在兰德公司举行“研究开发主动关注预防、检测和响应关键防御信息系统内部人员滥用”的第二次会议上，与会者在提出一些长期、中期的研究课题的同时，强调了一些实用的技术，认为这些技术是对当前存在的安全问题可以提供解决方案。
它们是：
·安装安全补丁
·回顾和监控现有的事件日志
·使用现有的访问控制
·在网络/硬件/软件上使用配置管理
·过滤恶意代码
·追踪数据来龙去脉及其完整性
在我国信息安全产业的发展中，厂商往往把关注点放到一些宣传的热点上，而对这些看似不起眼的技术有所忽略。
仅以安全补丁为例，虽然，安装安全补丁似乎已经成为一个常识，但是细想起来，许多实际问题并没有得到有效解决。
例如：
·如何确认安装补丁的公司的合法性；
·企业应该拥有什么样的补丁安装执行的工具
·如何保证补丁的来源可以信赖；
·如何至上而下地确认重大系统的补丁安装任务。
·系统管理员如何决定何种补丁应该优先打；
·是否在安装补丁以前进行过测试；
·在补丁安装过程中怎样相互制衡，保证安全；
·怎样提供一个研究判断系统修改带来的影响的“测试床”环境。
从国际情况看，各个公司每年要花费20亿美元用于补丁的安装管理，应运出现了类似iDefense Inc、SecurityFocus、Loudcloud Inc、PatchLink Corp., Ponte Communications Inc、St. Bernard Software Inc等一批公司开展了客户服务业务。
病毒检测预防与坏件检测预防
黑客利用病毒，病毒体现攻击行为已经成为信息安全事件的发展趋势。
国际上出现了一个叫“MALWERE”的新概念，它与计算机计算机软件（software）、硬件（hardware）、固件（firmware）相对应，也许应该翻译成“坏件”，它把计算机病毒、蠕虫、逻辑炸弹、特罗伊木马、愚弄（HOAXES）和下流玩笑程序以及恶意代码都包括在内。在这个概念的推动下，计算机病毒检测功能必将逐步有所扩充。
防火墙功能的扩展延伸
现在的防火墙和早期的防火墙在功能上有了许多扩展和延伸。许多产品把VPN的功能加入到防火墙中，也有把入侵检测（IDS）、病毒检测等功能模块加入防火墙之中。
为了实现对各种安全模块的集中管理，共享安全事件审计分析信息，统一制定和实施安全策略，出现了集中安全管理平台的研制开发。对于客户，越来越多的安全部件都需要实施符合客户安全策略的管理。没有相应的素质，难以应对自如。需要把厂商的经验开发成具有一定智能的，方便客户使用的管理平台。这种平台希望把来自恶意代码检测、入侵检测、漏洞扫描、包过滤、应用代理等各个部件的安全事件审计信息统一管理起来，把各个部件的安全防护功能协调协同起来。
这种结合需要注意一些问题，例如，IDS有基于主机和基于网络的不同类型，且其检测功能不仅仅针对外部入侵，设置在内部网段的IDS还可以检测内部人员的滥用。如果仅仅在防火墙端口面向外部入侵进行检测，其功能就受到局限。我们的厂商应该把自己的产品真实功能如实告知用户，使用户能够根据自己的实际需要选择合适的产品。系统集成厂商也需要让自己的业务人员了解安全产品的功能和性能。因为在许多情况下，用户是通过集成厂商获得安全部件的。集成厂商不能清楚地了解安全部件的功能，就有可能产生对客户的误导，或在激烈的竞争中失去商机，损失声誉。
PKI的互连互通互操作
PKI是当前国内外最热点的信息安全系统，人们寄希望于这种技术来解决数字空间的信任问题。对于PKI，存在两种不同的声音：怀疑和赞成。
怀疑者提出了PKI的种种不足。布鲁斯 斯奈尔著文“PKI的十个危险：你应该告诉公众的关於关于关键基础设施的事情”提出质疑。他认为PKI存在的风险是：
#1 “我们信赖谁, 和为什么?”
#2 “ 谁正在使用我的密钥?"
#3 “ 如何无顾虑地查证计算机?"
#4 “他是哪一个约翰.罗宾森是?"
#5 “这个 CA是一个授权的CA吗?"
#6 “这个安全设计是使用的那部份吗?"
#7 “它是一个CA还是CA加RA?"
#8 “CA如何识别证书持有人?"
#9 “证书有多安全?"
#10 “我们为什么一定要使用CA的方法?"
美国联邦审计总署2001 年2月也发表了报告《采用公开密钥基础结构技术的优势和面临的挑战》来评述PKI。报告指出了实施完善的PKI系统必须克服以下的困难：
·现有的PKI 产品存在严重的互操作问题。
·全面的PKI 产品缺乏。
·PKI 产品价格昂贵，改变应用以采用PKI 也有相当的代价。
·策略制定困难，特别是针对联邦各个部门。
·PKI 的使用者--人的问题也是一个重要的问题。
比较极端的观点认为：“可以尝试建立PKI，但这些尝试可能无功而返”。著名的Gartner公司的副总裁，研究领域的主任Victor S.Wheatman在今年RSA公司数据安全年会上以《PKI的新面貌》发表了自己的看法。在评述了对PKI的各种问题后，他说：PKI彻底无意义了吗？不对，它只是暂做休息。它只是不知道何去何从。它正在等待Microsoft制定新的标准。它正在等待应用杀手。
以Gartner公司的观点看，任何技术的出现，都要经历：技术触发，期望过度，失望，应用前景乐观度增加，成为成熟的生产力的几个阶段。公开密钥密码技术触发了PKI技术，在1999年RSA数据安全年会上，人们对它的期望值达到高潮。其后由于生物识别方法的出现，对PKI的期望值很快落到了谷底。由于电子签名法的颁布，PKI重又出现了生机，我们现在正处在促进其成熟的阶段。PKI的概念发端于学者，实现于业界，社会的应用需求必将牵引PKI面貌的改变。今后PKI必将适应应用需求，最后湮灭在应用之中。
当前国际上移动通信的发展和网上服务模式的发展，带来了PKI的第二个宣传高潮。它掀起了对无线PKI、XML PKI、漫游PKI的期望高潮。预期要配套解决授权管理基础设施，解决PKI系统集成到类似Windows之类的使用广泛的操作系统，解决标准键盘和读卡器之后，才能逐步形成成熟的生产力，最后湮灭在应用之中。
各国政府没有放松PKI的发展，依托PKI和桥CA，美国要在2003年实现电子政府，加拿大要在2004年实现电子政府，德国要在2005年实现电子政府。欧洲于2001年1月启动了为期两年的PKI挑战项目。目的是促进PKI相关产品之间的互操作性，开发世界性的PKI标准。它将与其它的技术提供商、用户、认证业务提供商、咨询公司和学术机关合作，定义互操作准则，并达成一致和测试；通过对各PKI交互作用的结果的展示，来说明要建立一个集成的异质PKI是可能的。
英国开展了PKI互操作试验。英国CESG（通信-电子安全组）认为，对PKI产品的最大批评是其互操作性，所以CESG发起了号称是世界上最早的、由政府发起的互操作性试验，第一次试验在2001年，第二次在2002年1月。试验报告已于2002年5月发布。其信息安全负责人Chris Ensor说：“我们把提供商在房间里锁了一星期，关上了门和窗户，我认为我们得到了很多……”试验的结果说明，虽然每类产品有其长处和不足，但互操作性不再是弱点，而且不应再被视为PKI产品实现时的阻碍。
在前不久北京举行的亚洲PKI论坛上，日本已经与亚洲的几个主要的地区和国家进行进行了互操作实验取得了成功，我也计划要和台湾等地区进行此类实验。
这些情况告诉我们，PKI正经受着考验。缺乏互连、互通、互操作的PKI是没有使用价值的。没有应用的PKI是没有生命力的。
现有安全技术的成熟度和生命力
数据加密标准（DES）、安全套接层（SSL）、防火墙装置、VPN是相对成熟的安全能力，但也是小于两年生命力的能力。PKI、基于行为的抗病毒、IDS的成熟度比上述产品差，但具有两到五年的生命力，但对IDS的期望值在下降。具有两年生命力的kerberos期望值也在下降。当红技术是XML安全标准。对生物技术、AES的期望值正在上升，量子密码的技术开始触发。
表上没有反映，但是发展受到重视的另一个重要技术是计算机犯罪取证和证据保全技术，这是社会依法打击犯罪的重要需求。今年FIRST会议上对这门技术的报告超过了IDS，讨论的问题也比往年更具体，更深入。
