網(wǎng)絡安全的軍事化不可取
與反恐戰(zhàn)爭和反毒品戰(zhàn)爭相比，美國政府對網(wǎng)絡戰(zhàn)爭的關注度越來越高。
據(jù)Google說前不久的網(wǎng)絡間諜攻擊可能來自中國。目前很多神秘的網(wǎng)絡活動都可以追溯到中國境內(nèi)。有專家認為Stuxnet(超級工廠蠕蟲)蠕蟲針對的是伊朗核設施。在維基解密公布了美國大量機密文件后，該網(wǎng)站也遭到了黑客攻擊。另外，別忘了多年前針對愛沙尼亞政府的大范圍網(wǎng)絡攻擊事件。
在處理網(wǎng)絡上的地緣政治問題上，美國政府采取了軍事化策略和思想實現(xiàn)網(wǎng)絡安全。也就是建立所謂的“網(wǎng)絡司令部”，在美國國防部的監(jiān)管下應對國家網(wǎng)絡安全事件。
但是安全咨詢公司Cigital 的首席技術官Gary McGraw 卻認為，軍事上常說的進攻是最佳的防御，這一條并不總是對的，尤其是在網(wǎng)絡世界中。在最近的一篇文章《Cyber Warmongering and Influence Peddling》中，McGraw認為互聯(lián)網(wǎng)上需要的是更多的安全軟件，而不是好戰(zhàn)分子。
ZDNet記者針對美國政府采取軍事策略應對網(wǎng)絡威脅的問題，采訪了McGraw 。
美國政府將網(wǎng)絡戰(zhàn)爭狀態(tài)設定為戰(zhàn)備等級1(DEFCON 1)的做法存在什么問題?
McGraw: 前不久我和Core Security Technologies 公司的創(chuàng)始人兼首席技術官Ivan Arce 合作寫了一本書。他是阿根廷人。每次我們聊天，他總會問我‘美國人怎么回事，怎么總是提到網(wǎng)絡戰(zhàn)爭，為什么美國人對網(wǎng)絡戰(zhàn)爭那么癡迷。’因為其他國家的人好像并不怎么提及網(wǎng)絡戰(zhàn)爭。我也去過很多國家，確實如他所說，沒有這么多有關網(wǎng)絡戰(zhàn)爭的話題。所以我們就開始討論為什么會有這種現(xiàn)象。最后我們總結出一個主要觀點，即美國把網(wǎng)絡戰(zhàn)爭、網(wǎng)絡間諜以及網(wǎng)絡犯罪等概念混淆了，政府并沒有試圖將這三者區(qū)別對待，并通過對話解決相應問題，而是不管網(wǎng)絡另一端的人所處的政治和經(jīng)濟環(huán)境，統(tǒng)統(tǒng)認為是美國的敵人。
這樣做有何危險?
這其中的危險在于，如果我們將所有網(wǎng)絡安全問題都歸結為“網(wǎng)絡戰(zhàn)爭”，那么美國國內(nèi)的民意傾向就會允許國防部來處理這些問題。五月份美國國防部成立了網(wǎng)絡司令部。網(wǎng)絡司令部強調(diào)的就是打擊，它的目的就是通過實施閃電戰(zhàn)術，在對方還未對美國實施網(wǎng)絡攻擊前，首先通過網(wǎng)絡攻擊對敵人進行致命打擊。我不認為這是個明智的做法。比如一個封閉的玻璃房子，網(wǎng)絡司令部正在想辦法快速準確的把石頭從屋里扔出去打別人。與之相反，我覺得我們應當習慣目前這種網(wǎng)絡攻擊，就好像習慣所有的系統(tǒng)都會存在漏洞一樣，我們要做的是努力消除這些漏洞。
是金錢利益驅(qū)使政府采取這樣的手段或政策嗎?這么想可能有些玩世不恭。
實際上很多人都是這么認為的。美國的軍工行業(yè)非常復雜，他們當然與商業(yè)安全行業(yè)有著緊密的聯(lián)系。這并不令人驚訝，也不是什么壞事。問題在于商業(yè)安全行業(yè)現(xiàn)在才開始理解安全工程以及軟件安全的重要性。前幾年的終點都放在如何防止壞人進入防火墻，而現(xiàn)在則是如何在外圍建立一個牢固不破的防御。這種策略轉變是正確的。在面對網(wǎng)絡犯罪，網(wǎng)絡間諜，以及網(wǎng)絡戰(zhàn)爭時，如果我們想同時解決這三個問題，那唯一的方法就是建立更強大的更堅固的安全系統(tǒng)。
您提到網(wǎng)絡犯罪和網(wǎng)絡間諜活動比網(wǎng)絡戰(zhàn)爭更重要，為什么是這樣呢?
因為網(wǎng)絡上最多的就是網(wǎng)絡罪犯，其次是網(wǎng)絡間諜，而網(wǎng)絡戰(zhàn)爭的出現(xiàn)幾率很小。而這一切產(chǎn)生的根源都是一樣的，即依靠系統(tǒng)的安全防護性能而定。我們有能力解決這三個問題。其中最重要的問題是網(wǎng)絡犯罪，因為目前來看，解決這個問題所投入的資金最大。不妨讓我們換個角度來看問題：最近很多人都在說維基解密的事情，最近一次維基解密所公布的機密文件對于美國的外交政策有很大的沖擊。
問題在于，就算我們擁有發(fā)動網(wǎng)絡戰(zhàn)爭并通過閃電戰(zhàn)獲勝的能力，對于像維基解密這樣的問題該如何解決呢?答案很明顯，我們沒能力解決。再比如，對于源自中國的代號極光(Aurora)的針對Google等企業(yè)盜取知識產(chǎn)權的網(wǎng)絡間諜行為，就算我們有網(wǎng)絡戰(zhàn)爭的能力，又能怎樣呢?
而解決網(wǎng)絡犯罪和網(wǎng)絡間諜這兩大問題的方法是什么呢?答案就是加強防御。除了加強軟件的安全性以外，人的因素也非常重要。想一下為什么一個一等兵能夠進入機密的軍用SIPRNET網(wǎng)絡?如果我們能夠嚴格實行安全審查制度，只能允許那些真正需要訪問機密文件的人接入機密網(wǎng)絡，那可能就不會出現(xiàn)維基解密這個網(wǎng)站了。
“網(wǎng)絡(cyber)”這個詞聽上去有些恐怖，其實我們所說的還是以互聯(lián)網(wǎng)(Internet)為主吧?這兩者有差別么?
是的，美國一直在強調(diào)網(wǎng)絡戰(zhàn)爭，而不是互聯(lián)網(wǎng)戰(zhàn)爭。問題在于傳說中的網(wǎng)絡安全的問題要比它的實際情況更加神秘，恐怖和夸張。這使得政策制定者，企業(yè)CEO以及公眾難以認清真相，比如2007年愛沙尼亞的DDoS攻擊。而我們都知道的超級工廠蠕蟲，就只針對工業(yè)網(wǎng)絡環(huán)境。#p#
超級工廠蠕蟲是真實存在的，這算是網(wǎng)絡戰(zhàn)爭嗎?
它可以算是一種網(wǎng)絡戰(zhàn)爭的武器，我們稱之為網(wǎng)絡武器。我認為這算是網(wǎng)絡戰(zhàn)爭行為了。根據(jù)我的標準，網(wǎng)絡戰(zhàn)爭的攻擊行為需要有實體破壞力，也就是說，被攻擊一方有物理損壞。 Stuxnet的攻擊代碼可以入侵伊朗核電站的濃縮鈾離心機控制設備和離心機設備本身，并造成機械故障。如果你關注過當時伊朗核電站的發(fā)電量，就會發(fā)現(xiàn)被攻擊后出現(xiàn)的發(fā)電量巨大落差。伊朗總統(tǒng)Ahmadinejad也承認伊朗核電站的離心設備遭到網(wǎng)絡攻擊。
那么針對愛沙尼亞的那次攻擊為什么不算網(wǎng)絡戰(zhàn)爭?
實體破壞性是一個要素，另一個要素是，戰(zhàn)爭是全國性的。愛沙尼亞那次遭受的攻擊并不符合這一點。而且國家也沒有收到真正的沖擊。雖然該國的網(wǎng)絡掛了，但是說實話，誰又在意呢?如果把相同規(guī)模的攻擊拿來攻擊Google或者Amazon，可能根本都不會引起任何異常狀況。我覺得發(fā)動這次攻擊的位于俄羅斯的某個黑客，只是一次個人行為，并不算是發(fā)動了一場戰(zhàn)爭。其實，據(jù)我在華盛頓的朋友透露，類似愛沙尼亞這樣的攻擊事件還在不斷地上演著。
您是怎么看待網(wǎng)絡戰(zhàn)爭和美國的策略呢?
今年我大部分時間都是在華盛頓工作。我去過白宮，也去過五角大樓，與政府的智囊團一起討論過。現(xiàn)在政府中談論太多有關網(wǎng)絡戰(zhàn)爭的問題了，這讓我有些擔心。我們要做的應該是節(jié)制網(wǎng)絡戰(zhàn)爭，網(wǎng)絡間諜以及網(wǎng)絡犯罪的發(fā)生，將重點放在建立更好的安全系統(tǒng)上，走出玻璃房子，而不是像Hayden將軍(CIA局長)提議的那樣建立新的網(wǎng)絡快速反應部隊。政策制定者們對于我們所熟悉的網(wǎng)絡安全概念的理解，可謂是一塌糊涂。
我所擔心的是政府根本不在互聯(lián)網(wǎng)安全防護上給予任何經(jīng)費。對于網(wǎng)絡來說，沒有什么分而治之的說法。也就是說，我們不能只為軍隊網(wǎng)絡或者SIPRNET 進行防護，而對互聯(lián)網(wǎng)放任不管，因為九成的風險都來自互聯(lián)網(wǎng)。在美國，超過九成網(wǎng)絡架構是由企業(yè)或民間團體控制的，政府管轄的網(wǎng)絡架構大約只有一成。只保護政府所控制的網(wǎng)絡，而不保護其它部分，顯然是沒有道理的。這是我擔心的問題之一。
另一個問題是美國習慣利用空軍的空中優(yōu)勢，在第一時間打擊并破壞掉敵人的進攻力量。由此而形成的所謂“禁飛區(qū)”對于防御來說非常有效。不幸的是，在網(wǎng)絡空間上這么做是無效的，因為網(wǎng)絡是個完全不同的物理環(huán)境，軍隊不可能對敵對勢力進行包圍或者奪取制空權。在網(wǎng)絡上，“物體”運行的速度遠比現(xiàn)實世界的物體運行的速度快，因此現(xiàn)實中的軍事專家在面對網(wǎng)絡戰(zhàn)爭時，基本上沒有時間制定戰(zhàn)略戰(zhàn)術，也沒時間分析和布置防御措施。
您在文章中寫道“最終有人會因為忽視安全問題而付出代價，有人會因為重視安全問題而得到好處。” 您是認為軟件開發(fā)商該承擔軟件安全的責任嗎?
我不知道答案是什么。但是我覺得人們需要將討論的重點轉移到如何激勵生產(chǎn)商開發(fā)更安全的軟件系統(tǒng)，以及討論不安全的系統(tǒng)會給我們帶來什么風險。等我們都開始討論這些問題的時候，政策制定者們就會轉到正確的道路上來。我們并不是提供什么明確的方案，比如誰該承擔責任。我們只是試著將討論的話題從戰(zhàn)爭轉向安全工程。
您對此還有什么觀點嗎?
我確實認為我們正面臨風險，而且我也認為網(wǎng)絡戰(zhàn)爭確實是我們需要解決的問題。盡管如此，我們也應該理性的進行對話。太多的某某威脅論并不能幫助我們解決問題。如果我們在政策層面進行錯誤的討論，就會給政策制定者們造成困擾，使得他們無法制定出理性的政策。
【編輯推薦】
