大云網新技術泛在電力物聯網正文

中國工程院院士倪光南：中國必須掌控網絡空間主動權成為網絡強國

2017-11-07 14:32:40 電力頭條APP　點擊量：評論 (0)

2017年11月7日-9日，中國能源互聯網大會暨智慧能源產業博覽會（SmartEnergyChina簡稱：SEC）國內唯一的智慧能源全產業鏈的年度盛會在上海新國際博覽中心舉辦！開幕式由國家發改委應對氣候變化戰略研究和國際合作

2017年11月7日-9日，中國能源互聯網大會暨智慧能源產業博覽會（SmartEnergyChina簡稱：SEC）國內唯一的智慧能源全產業鏈的年度盛會在上海新國際博覽中心舉辦！

開幕式由國家發改委應對氣候變化戰略研究和國際合作中心主任李俊峰先生主持。中國工程院院士發表演講，主要內容是我國的互聯網安全狀況和網絡空間斗爭主動權問題，我國要掌控核心網絡技術，成為習總書記說的網絡強國。

下面為您帶來中國工程院院士倪光南的發言：

倪光南：

尊敬的各位領導，來自國外的嘉賓。我今天有形參加中國能源互聯網大會，我今天的題目是我國的互聯網安全狀況和網絡空間斗爭主動權問題。主要給大家介紹一下中國目前我們有能源互聯網，我們應用在互聯網安全的情況。

大家知道中國互聯網人口超過35億，同時我們現在面連物聯網，不僅任何人、人和設備、人和萬物之間都要互聯。物聯網的設備，目前來講聯網的已經超過了人口總數，而且按照這個趨勢來講，今后物聯網的數目遠遠超過人的數目。這是關于網絡安全的指數，ITU對全球網絡安全有一個評估，我們看按照他的指標體系，中國目前是第32位，這也是一家體系，每個國家節奏不同，網信辦就不一定這樣，同一個指標體系，中國的網絡安全還在發展。

世界各國已經把網絡安全作為重大的戰略問題。這里講到38%的國家發布了W網絡安全戰略。中國從十八大開始高度重視網絡安全，習總書記對網絡安全有一系列的講話和指示。

下面講具體發生的事件，一個是徐玉玉事件，第二個是物聯網相關的僵尸網絡問題。然后是勒索病毒的問題。

徐玉玉是遭遇信息詐騙不幸離世。也是的很多人反省，有關部門相應的做了一些措施，我們發現目前公共部門是網絡攻擊的重點，包括金融醫療教育的行業，我們希望響應政府部門要予以重視和攻擊產生的后果。這里也講到了公共機構安全漏洞時間，我們從整個態勢來看，還是有增加。我們必須提高相應的措施，防止攻擊。

我剛剛舉到的徐玉玉時間，引起了我們一系列網絡安全改革。對象應有關部門同事進行整治，以及非法買賣銀行卡信息。公安部對整治網絡侵犯個人隱私的問題，網信辦也有相關的整治。這些問題我們希望盡可能出現類似的事件。

第二個問題是隨著物聯網健康能源的發展，我們更多的利用傳感器控制部件，物聯網將會得到廣泛的利用，這里就是Mirai僵尸網絡的問題，美國2016年發現的問題，美國互聯網達到了很大規模的癱瘓。同時發起了DDoS攻擊，他整個的供給次數達到了1萬次以上。這也是關于DDoS供給服務產生的后果，我們看到非常嚴重的情況，我就不詳細講了。

這是中國的漏洞庫，收集的關于物聯網IoT的漏洞，我們可以看到漏洞的數量，和相應影響的范圍。

目前來講，我們國內所發現的僵尸木馬控制的IP地址的數目，可以看到這些有160萬臺主機受到影響，所以看到很多人不太了解，實際上這個情況是非常嚴重的。如果不是我們加強措施的話，我們知道這個影響會很嚴重。

這個問題我們引了《麻省理工科技評論》有關僵尸物聯網問題的評論，我們知道這是比較難的，我們國家的360公司也在這方面做了很多工作。已經可以看到目前每天受到感染的設備達到1萬臺，這個問題還是要引起很大的重視。

第三個，大家印象很深，就是勒索病毒的發現。目前來講5月開始影響了150多個國家和地區，10多萬組織和機構，30萬網民，有些部門中國也受到影響，整個部門癱瘓了，很多人工作受影響。這是勒索病毒目前的情況。

勒索病毒從開始是烏克蘭和俄羅斯開始的，蔓延到全球，目前切爾諾貝利核電站也受到了影響，這可能是冰山之一角，類似的網絡武器可能數以千計，也許我們現在碰到不過是其中很小的一塊，所以大家給我們的警示，不能認為這個病毒過了就沒有了。我們應該知道，這個也許是今后你會碰到更多更大更嚴重的問題，必須有一些很和的措施。賽門鐵克統計達到了1000美元。

下面我講一個問題我們比較關心的，就是網絡空間斗爭的主動權。你面臨了那么多病毒木馬等等這些攻擊，怎么辦?而且我們覺得面臨這個問題，我們受害非常嚴重，網民那么多，受到感染的以十萬計，這種情況下如何掌握主動權，目前我們有沒有呢?我認為我們還沒有主動權。為什么?因為我們沒有掌握，比如說操作系統我們用的都是人家的操作系統，不是你的。這種操作系統不是自主的，發達國家都是自己的，美國的都是自己開發的，我們中國用外國的，有沒有問題呢?一般的沒問題。但對于網絡技術產品有這個問題。假設不是你自己控制的，你就沒法發現漏洞，沒法預先做準備，既使是有很高水平的人，也沒法發揮作用。因為他不知道怎么去分析漏洞，發現漏洞怎么辦呢?智能等到人家供應商給你補丁，你自己打不了補丁。這個補丁有沒有效呢?沒辦評估，只能試一試，好就好，不好也沒有辦法。

所以我們認為像這種重要的網絡核心技術。要防止在網絡空間掌握主動權，假如不掌握這些核心技術你沒有主動權，就是“被動捱打”。

舉個例子，這是去年2016年發現的漏洞“DirtyCow”，這個病毒在開源人的系統內核里存在的，可能被一個低特權的用戶變成用戶。我們很多手機要root，誰拿到root權限誰都可以做，他這個攻擊你他就可以拿到你的root特權，手機上的所有信息他用什么都可以。所以這個漏洞4很重要，這個漏洞已經存在了，2007年之后的所有linux版本都有。這個為什么難以發現呢?那么多年沒有看出來什么，很隱蔽。因為他的攻擊都是用合法的，所有操作、代碼都是合法的，按一般的常規病毒檢測看不出來，這也就是說明，開源軟件那么多人審查都有那么多問題，如果沒有審查過，你根本不知道。我們知道2016年十月份發布網站沒有他發布就沒有人知道這個漏洞。

這個是網絡空間協會特別召開了一次研討會，我們覺得這個事情很重要，給我們中國網絡空間安全相關的公司、科技人員很好的例子來學習一下。這個會上我們請了中國科技大學楊教授團隊做了介紹，對這個漏洞進行介紹。而且評估了相關的補丁。我們知道這個補丁誰打呢?就是linus本人打的。他認為這個不定也可以商榷，楊教授自己也給了一個方案，安全性方面更加強，但可能消耗一定的代價。這個代價也不高，這是我們當時發布會。

給我們的啟示，楊教授認為現有的操作系統我們不可能避免這種漏洞，這些漏洞我們知道要防治是很難的。因為他所有的操作都是合法的，一般的病毒程序沒有辦法，只能打補丁，不打補丁沒法檢測出來。所以他們認為應該吸取教訓，發展一種安全的操作系統，可以免除一些攻擊。當然我這個攻擊是黑客攻擊，不是你把電源拔掉，把計算機拔了都不算，就是正常的黑客攻擊可以防止，這樣需要對操作系統CPU都要做工作，我們相信這個是有可能的。也是我們通過DirtyCow這個漏洞，通過對這個漏洞的分析，認為有可能我們需要發展更新操作系統。

我這里關于操作系統得出的經驗，我們有兩種方法來做，一個是用國外進口的，比較簡單。有人國合資公司，把進口包裝做成國產的。第二種就是用國產的，自己開發，在開源技術上整個自己開發。應該用哪一種?第一種，能不能事先發現漏洞?用自己的才能事先發現漏洞，用別人的沒法分析。預先防范?也不能防范。合資公司能不能自己分析漏洞是什么原因?人家沒有這個條件讓你分析。只有用自己的系統才知道這個漏洞在那。還有能不能打補丁?打不了，我們用windows的打不了，等著人家發補丁，人家不給你你也沒辦法。

這個不定是不是有效?不知道。試一試碰碰運氣，如果不好你也沒辦法。最后，我覺得很重要的，現在有兩派，有的說用國外的簡單，拿來就能用，合資公司包裝一下就是自己的了，另外一種不行。再難還是自己開發，為什么?你要有主動權，被動捱打沒有辦法，聽天由命。

我們最后的結論，如果說網絡強國，我們現在是網絡大國，按習總書記說要成為網絡強國。這種操作系統核心技術不掌握，在網絡空間就束手無措，被動捱打。可能成千個網絡攻擊還在后面。

下面我說一下，從電子簽名法開始，我們國家在網絡安全方面不斷的指定法律，有網絡安全法、網信辦網絡產品和服務的安全審查法。我們還有信息安全保護制度，有五級保護。很多單位都需要通過的等級保護。

此外，最近我們有方面也要推行多維度的測評，什么意義呢?網絡安全是非常重安全，習總書記十九大說要統籌，我們知道傳統安全和非傳統安全，非傳統安全就是網絡安全，需要有比如說除了安全性以外還有可控性。我們將來智慧能源，你的設備傳感器，人家可能控制你。我們知道伊朗的核設施壞了，就是因為中控設置被人控制了。我們提出了多緯度測評的要求，我們希望今后能夠推行。比如說我們可以從知識產權技術能力發展的可能性、供應鏈安全等等，評估一個產品服務的自主可控性如何，然后再評估我們傳統的安全性。

我看時間到了，提供這些意見，供大家參考，謝謝大家!

（發言為現場速記整理，未經本人審核）