網絡空間安全戰略思考與啟示
責編：admin ｜2014-11-27 18:12:15習總書記指出，沒有網絡安全就沒有國家安全，沒有信息化就沒有現代化。國際上，美國依據其霸主地位制定規則，在網絡空間安全上占據絕對優勢，給我國的網絡空間安全提出了嚴峻的挑戰。
一、美國網絡空間安全戰略啟示
（一）美國將網絡空間安全由“政策”、“計劃”提升為國家戰略
美國在網絡空間戰略是一個認識發展的過程。首先是1998年發布的第63號總統令《克林頓政府對關鍵基礎設施保護的政策》（PDD63），緊接著2000年發布了《信息系統保護國家計劃v1.0》。布什政府在2001年911事件后馬上發布的第13231號行政令《信息時代的關鍵基礎設施保護》，并宣布成立“總統關鍵基礎設施保護委員會”，由其代表政府全面負責國家的網絡空間安全工作。并研究起草國家戰略，于2003年2月正式發布《保護網絡空間的國家戰略》，又于2008年發布機密級的第54號國家安全總統令，設立“綜合性國家網絡安全計劃”，該計劃以“曼哈頓”（二戰研制原子彈）命名，具體內容以“愛因斯坦”一、二、三組成，目的是全面建設聯邦政府和主要信息系統的防護工程，建立全國統一的安全態勢信息共享和指揮系統。
（二）美國網絡空間安全戰略進一步完善
2008年4月，布什總統發布了《提交第44屆總統的保護網絡空間安全的報告》，建議美國下一屆政府如何加強網絡空間安全。
2009年2月，奧巴馬政府經過全面論證后，公布了《網絡空間政策評估——保障可信和強健的信息和通信基礎設施》報告，將網絡空間安全威脅定位為“舉國面臨的最嚴重的國家經濟和國家安全挑戰之一”，并宣布“數字基礎設施將被視為國家戰略資產，保護這一基礎設施將成為國家安全的優先事項”，全面規劃了保衛網絡空間的戰略措施。
2009年6月，美國國防部長羅伯特.蓋茨正式發布命令建立美國“網絡空間司令部”以統一協調保障美軍網絡安全和開展網絡戰等軍事行動。該司令部隸屬于美國戰略司令部，編制近千人， 2010年5月，美國網絡司令部正式啟動工作。
（三）網絡空間國際和戰爭戰略
2011年5月，美國白宮網絡安全協調員施密特發布了美國《網絡空間國際戰略》，其戰略意圖明顯，即確立霸主，制定規則，謀求優勢，控制世界；同年7月，美國國防部發布《網絡空間行動戰略》，提出5大戰略措施，用于捍衛美國在網絡空間的利益，使得美國及其盟國和國際合作伙伴可以繼續從信息時代的創新中獲益。
2012年10月，奧巴馬簽署《美國網絡行動政策》(PDD21)，在法律上賦予美軍具有進行非傳統作戰權力，明確從網絡中心戰擴展到網絡空間作戰行動等。
2013年2月，奧巴馬發布第13636號行政命令《增強關鍵基礎設施網絡安全》，明確指出該政策作用為提升國家關鍵基礎設施并維護環境安全與恢復能力。
2013年4月，奧巴馬向國會提交《2014財年國防預算優先項和選擇》提出至2016年整編成133支網絡部隊，其中國家任務部隊68支，作戰任務部隊25支，網絡防御部隊40支。
2014年2月，美國國家標準與技術研究所針對《增強關鍵基礎設施網絡安全》提出《美國增強關鍵基礎設施網絡安全框架》（V1.0），強調利用業務驅動指導網絡安全行動，并按網絡安全風險程度不同分為四個等級，組織風險管理進程。
不僅美國緊鑼密鼓執行網絡空間國際和戰爭戰略，最近頒布的北約網絡空間安全框架表明，目前世界上有一百多個國家具備一定的網絡戰能力，公開發表網絡安全戰略的國家達56家之多。
由此可見，網絡空間已經成為繼陸、海、空、天之后的第五大主權領域空間，也是國際戰略在軍事領域的演進。這對我國網絡安全提出了嚴峻的挑戰，我們應積極應對，加快建設我國網絡安全保障體系，捍衛我國網絡安全國家主權。
二、構建主動防御的技術保障體系
（一）可信免疫的計算體系結構
現在使用的計算機體系結構在設計時只追求計算速度并沒有考慮安全因素，如系統任務難以隔離、內存無越界保護等，這直接導致了網絡化環境下的計算服務存在大量安全問題，如源配置可被篡改、惡意程序被植入執行、利用緩沖區（棧）溢出攻擊、非法接管系統管理員權限等。
可信計算是信息科學發展的結果，是一種新的可信免疫計算模式。可信計算采用運算和防御并行的雙體系架構，在計算運算的同時進行安全防護，使計算結果總是與預期一樣，計算全程可測可控，不被干擾。
對比當前大部分網絡安全系統，其主要是由防火墻、入侵監測和病毒防范等組成，稱為“老三樣”。形象的說，這些消極被動的封堵查殺治標不治本，而可信計算實現了計算機體系結構的主動免疫，與人體免疫一樣，能及時識別“自己”和“非己”成份，從而破壞與排斥進入機體的有害物質，使有缺陷和漏洞不被攻擊者利用。
云計算、大數據、物聯網、工業系統移動互聯網、虛擬動態異構計算環境等新型信息技術應用都需要可信免疫體系作為其基礎支撐。構建可信安全管理中心支持下的三重防護框架能夠保障體系結構，確保操作行為、資源配置、數據存儲盒策略管理的可信，達到攻擊者進不去、非授權者重要信息拿不到、竊取保密信息看不懂、系統和信息篡改不了、系統工作癱不成和攻擊行為賴不掉的防護效果，如果有可信機制，“震網”、“火焰”、“心臟滴血”等惡意代碼可不殺自滅。
（二）中國可信計算技術創新
中國可信計算于1992年正式立項研究并規模應用，早于國際可信計算組織（TCG，2000年成立）。
研究TCG可信計算方案發現其體系存在的問題有：（1）密碼體制的局限性：TCG公鑰密碼算法只采用了RSA，雜湊算法只支持SHA1系列，回避了對稱密碼，由此導致密鑰管理、密鑰遷移和授權協議的設計復雜化，也直接威脅著密碼的安全；（2）體系結構不合理：TCG的TPM外掛調用是一種被動體系結構，無法執行動態主動度量。
中國可信計算經過長期攻關，不僅解決了TCG的上述問題，還形成了自主創新的體系，其創新點包括：
（1）可信計算平臺密碼方案創新
采用國家自主設計的算法，提出了可信計算密碼模塊（TCM），以對稱密碼與非對稱密碼相結合體制，提高了安全性和效率；采用雙證書結構，簡化證書管理，提高了可用性和可管性。
（2）可信平臺控制模塊創新
提出了可信平臺控制模塊（TPCM），TPCM作為自主可控的可信節點植入可信源根，在TCM基礎上加以信任根控制功能，實現了以密碼為基礎的主動控制和度量；TPCM先于CPU啟動并對BIOS進行驗證，由此改變了TPM作為被動設備的傳統思路，實現了TPCM對整個平臺的主動控制。
（3）可信主板創新
在可信平臺主板中增加可信度量節點（TPCM+TCM），構成了宿主加可信的雙節點，實現到操作系統的信任傳遞，為上層提供可信硬件環境平臺；對外設資源實行總線級的硬件可信控制，在CPU上電前TPCM主動對Boot ROM進行度量，使得信任鏈在“加電第一時刻”開始建立；并利用多度量代理建立信任鏈，為動態和虛擬度量提供支撐。
（4）可信基礎支撐軟件創新
采用宿主軟件系統+可信軟件基的雙系統體系結構，，可信軟件基是可信計算平臺中實現可信功能的可信軟件元件的全體，對宿主軟件系統提供主動可信度量、存儲、報告等保障。
（5）可信網絡連接創新
采用基于三層三元對等的可信連接架構，進行訪問請求者、訪問控制者和策略仲裁者之間的三重控制和鑒別；對三元集中控管，提高架構的安全性和可管理性；并對訪問請求者和訪問控制者實現統一的策略管理，提高系統整體的可信性。
（三）解決核心技術受制于人問題
（1）中國可信計算產業化條件具備。《國家中長期科學技術發展（2006-2020年）》明確提出“以發展高可信網絡為重點，開發網絡安全技術及相關產品，建立網絡安全技術保障體系”，“十二五”規劃有關工程項目都把可信計算列為發展重點，可信計算標準系列逐步制定，研究制定單位達40多家，參加人員達400多，標準的創新點都作了技術驗證，申報專利達40多項。不少單位和部門已按有關標準研制了芯片、整機、軟件和網絡連接等可信部件和設備，并在國家電網調度等重要系統中得到了有效的應用。2014年4月16日，成立了中關村可信計算產業聯盟，大力推進產業化、市場化。
（2）為全面替代國外產品打基礎。2014年4月微軟公司停止對Windows XP的服務支持，全國約2億臺運行XP操作系統的終端將面臨無人服務的局面；而Windows 8和Vista（2006年政府明確不采購）是同類架構，升級為Windows8不僅耗費巨資，還會失去安全控制權和二次開發權。利用自主創新的可信計算加固XP系統可以方便的把現有設備升級為可信計算機系統，以可信服務替代打補丁服務，應用系統不用改動，便于推廣應用。
同時，在我國實施國產化替代戰略的過程中，可信防護體系全面支持國產化的硬件、軟件，盡管國產化產品存在更多的缺陷和漏洞，可信保障能使得缺陷和漏洞不被攻擊利用，確保比國外產品更安全，為國產化自主可控、安全可信保駕護航。
面對日益嚴峻的國際網絡空間形勢，我們要立足國情，創新驅動，解決受制于人的問題。堅持縱深防御，構建牢固的網絡安全保障體系，為我國建設成為世界網絡安全強國而努力奮斗！