信息安全:国产替代是追求 去IOE应顺其自然

今年全国两会召开期间,信息安全、网络安全成为代表委员的关注焦点之一。近日,《中国电子报》记者采访了信息安全专家、北京大学网络和软件安全保障实验室主任、教授陈钟,就当前的信息系统国产替代、去IOE、个人信息保护、微软XP系统停止服务等热点问题进行了探讨。

国产软硬件替代是中国梦

国产软硬件替代是我们的目标和追求,要看到和西方企业的差距,重点发力的是要提升自己产品的技术实力和服务质量。

国产软硬件替代无论是从企业本身还是国家战略部署,都给予了大量支持。更多的国产软硬件替代意味着我国可能有更多自主可控的系统,从信息安全的角度来看是控制权的问题,从经济角度看是涉及产业发展,其重要性毋庸置疑。

但是,陈钟认为,应当看到现在我国在产业、产品、技术、人才等方面和西方发达国家的差距是巨大的。例如CPU,我国现有的产品只在很有限的范围内使用,基础领域如材料、装备等,真正自主的设备也有很大差距。在软件方面,中科红旗过去作为国产操作系统的一面旗帜也倒下去了,既没有出现微软的视窗系统,也没有出现类似谷歌的安卓操作系统。我国现在面临计算设备人手多台的时代,不仅仅是要有技术、产品,还需要打造生态环境。出现的很多新的技术,例如物联网,传感、感知、处理单元的技术,大多数是西方发达国家掌握。

陈钟打了个比喻:“中国和西方发达国家的竞争就像索契冬奥会的冰壶运动,不是眼前的一个竞争,只打一个球就能定输赢,而是一局、一场多连环的竞争。中国的战略应该放得更长远些。”

有人说美国梦其实是教育梦,美国的长远战略体现在其教育上。从第一任总统华盛顿就开始对教育进行长远规划,激发持续的力量创新。现在美国IT科技顶尖人物如谷歌的拉里·佩奇、脸谱的扎克伯格、苹果的乔布斯等等,都不是国家一时的政策刺激出来的,最根本的是教育环境、创新技术环境让各类人才脱颖而出。

从这些意义上说,陈钟表示,第一,国产软硬件替代是我们的目标和追求。第二,要看到和西方企业的差距,要有长远战略,既要赢得眼前也要看到长远发展,必须重视教育、基础科学和技术,急功近利只会导致恶果。国产替代,重点发力的还是提升自己产品的技术实力和服务质量。

去IOE是自然而然的事情

阿里巴巴的去IOE并不是创新,谷歌也是这样做的。去IOE只是开源的一个现象,更多的大企业也在走软硬件开放和开源的路子。

现阶段去IOE,在某些领域是自然而然的事情。陈钟提醒,阿里巴巴的去IOE并不是创新,谷歌也是如此,在能力范围内选择自己最合适的技术、产品组合,在开源基础之上找到更好更优更省钱的解决方案。不仅谷歌在做去IOE,百度也在跟随研究网络交换机。而Facebook正在硅谷建实验室,研究DIY数据中心,这可能对惠普和IBM的服务器、数据中心业务造成很大冲击。

阿里巴巴的去IOE,是在寻找更适合电商数据业务的IT产品组合。这类企业不适用通用的数据库,因为他们的数据大多数是只添加、累积不删除的,其使用的产品和解决方案就需要针对这个特征进行优化,而且要比通用的数据库做得更好。甲骨文的数据产品有软到硬的一系列丰富的产品线,但是面对阿里巴巴这类有能力、有实力可以自己处理数据的企业时,甲骨文的产品从适用性、实施性、性价比等各方面就不合适了。阿里巴巴替代的不仅是一种方案,还要走到前面。

再比如百度。陈钟透露,百度去年从华为购买了价值十几亿元的网络交换机,但是今年取消了类似的订单,因为它要自己研发交换机和存储。

去IOE只是开源的一个现象。更多的大企业也在走软硬件开放和开源的路子。例如英特尔,在芯片领域受到了ARM的冲击,也开始走开源路线,在企业内部建立更加开放的管理机制,鼓励团队去创新。

遵循国际规则鼓励国产化

站在中国人的角度我们鼓励去IOE,做国产的产品,但是市场有市场的规则,不可能宁愿用坏的东西也不用国外的好的东西,而且还应该遵守WTO规则。

不过,陈钟认为,类似谷歌的企业去IOE,在美国都是极端的,并不适用广大的用户。“站在中国人的角度,我们的期望是去IOE,做国产的产品,但是市场有市场的规则,不可能宁愿用坏的东西也不用国外的好的东西。而且还应该遵守WTO规则。市场规则是谁好用谁的,所以,政府需要很好地利用国际规则、市场规则鼓励国产化,而不是和国际规则对抗。例如美国就很好地利用了国家安全这张牌,判定华为的产品进入美国需要审核。中国过去没有这种制度,现在就需要赶紧建。”他说。

法律可以规范市场,而中国的立法落后是一大问题。例如个人身份证的管理等,很长时间我国没有关于作废身份证如何处理的机制,造成伪造身份证、个人信息泄露问题严重,诈骗、造假猖獗。陈钟坦言,中国的个人隐私立法迟迟不能完成,根本原因是在中国,隐私权在法律上没有明确定义,想获得法律上的认可就很困难。

现在国家支持技术研发和创新的资金比过去多,但是创新的精神比过去少。陈钟分析,首先,整体环境不能宽容失败,弄虚作假就成了必然趋势;其次,决策的失误没有责任,无人追究。政府设立的各类支持产业和技术发展的专项和基金主旨是好的,但是从投入产出的效益来看,的确不如人意。政府不应过多干预企业的研发行为,政府的资助可以以资本金、风险投资的角度注入,在企业的管理、技术研发等具体事务上应减少干预。

信息安全需要持之以恒

国产的产品,是否比win 7、win 8还好?是否能做到安全、自主可控?国产替代,并不等于安全,这取决于国产厂商在安全上做到什么程度。

针对当前用户高度关注的Windows XP事件,陈钟认为,XP系统是微软2002年之前研发的产品,2002年,微软开始高度重视安全,原美国反网络犯罪局官员斯科特·查理加入微软成为首席安全官,所以XP之后的Windows 7, Windows 8,在产品安全性上做了大量改进,这也意味着XP的漏洞远远多于这几个系统。所以XP退出市场,对用户来讲是很正常的事情。但是XP系统从投入市场到退出有12年,在中国还有数以亿计的用户。

前段时间我国多名院士称,XP事件是国家信息安全事件,涉及信息系统的控制权问题。微软希望用户升级系统,从用户角度讲安全性得到了提升,但是院士们认为,如果继续采用微软产品,控制权将失去。对此,陈钟保留了自己的意见,他反问《中国电子报》记者:“国产的产品,是否比Windows 7、Windows 8好用?是否能做到安全、自主可控?反过来讲,做了国产替代,并不等于安全,这取决于国产厂商在安全上做到什么程度。”

安全需要持之以恒地努力。安全涉及网络、系统、人的工程。安全问题是很广泛、很复杂,无论是单品、还是集中管控,还是各种手段的综合运用,都要有大的提升。人的社会工程做好了,比从技术上做好安全要有效得多。当前,来自网络的威胁多种多样,小到个人的小额金钱被盗、隐私泄露,大到企业要害部门遭受的APT攻击,很难说在一个点上做好信息安全就能万事大吉。

另外,互联网金融的安全,只要产品在可控范围之内就是可行的。例如财付通微信支付,眼下并没有机构审核微信支付是否有漏洞、是否安全。在陈钟看来,就算给微信支付的安全性打个分又有什么用?财付通、支付宝等的运作模式很简单,引入保险公司赔保,有效冲抵风险,就开始推向市场,后续再慢慢完善系统。这说明,安全本身没有绝对的安全,只有平衡风险、防护、利益三者之间的关系。从经济角度看,互联网带动的经济发展是遵循适度的安全管控。总体上,不可能追求绝对的安全,只要相对风险可控,就是可行的。