ChinaByte特稿 (记者 宋保强) 日前，记者就操作系统在信息安全中的作用以及开放源代码和信息安全的关系等问题走访了中国科学院信息安全技术工程研究中心主任卿斯汉研究员。

　　ChinaByte记者：目前我国信息安全建设发展情况如何？

　　卿斯汉：中国信息系统安全基础设施建设比较薄弱，尤其是安全操作系统，由于认识上的不足和没有明显的经济利益等因素，没有得到足够的重视和发展。如果没有安全操作系统作为基础，其它安全设备如同建立在沙滩上的城堡。因此，当务之急是抓紧高安全等级操作系统的研制与产业化工作。

　　ChinaByte记者：操作系统在信息安全中是什么地位？

　　卿斯汉：操作系统是信息系统安全的基础设施，在信息安全方面起着决定性的作用。信息系统安全硬件方面关键是芯片，软件方面是操作系统。没有操作系统的安全保障，其他的安全措施无法发挥其应有的安全防范作用。像防火墙等安全产品如果基于不安全的操作系统平台上，其安全功能是可以被旁路屏蔽掉的。

　　此外，操作系统漏洞本身给网络信息安全带来了很大问题。用户不能幻想依赖防病毒产品彻底解决安全问题，必须把操作系统补丁打上，否则起不到根本作用。实际上，要彻底解决病毒入侵等安全问题还需要安全操作系统。

　　ChinaByte记者：什么是安全操作系统？

　　卿斯汉：安全操作系统是根据国家标准，正式通过国家权威机构评测的操作系统。国标第3级以上的操作系统，是真正意义上的安全操作系统。我们开发的安全操作系统，必须具有自主版权的安全内核。安全级别高的安全操作系统理论上已经证明是十分安全的，而安全级别较低的还不能从理论上证明是“百毒不侵”的，但是比起非安全操作系统被攻破的难度还是大得多。

　　ChinaByte记者：你如何评价Linux和Windows的安全性？

　　卿斯汉：每种操作系统都有不同的安全级别，所以不能笼统比较操作系统的安全性。此外，也并不是说操作系统越安全越好，安全性和实用性是一个矛盾。用户对安全性的需求不同，这需要在安全性和实用性之间找一个平衡点。对于普通用户和客户端，安全性要求不高，注重实用性。但对于安全要求较高的用户和服务器，适宜采用适当级别的安全操作系统。

　　目前普遍使用的被病毒突破的操作系统，基本上都是非安全的操作系统。

　　ChinaByte记者：我们需要开发自己的安全操作系统吗？

　　卿斯汉：由于安全操作系统的重要性，我国要拥有自有知识产权的安全操作系统。目前来看，微软统治桌面操作系统市场可能是个相当长的时期，而在Windows的基础上做它的安全操作系统版本只能是微软公司自己，别人很难做到。而从技术角度讲，在Linux开放源代码的基础上做安全性研究和实践，不用把资源花费在非核心的安全技术上了，更容易一些。此外，源代码开放提供了很好的发展机遇，对于软件产业的发展是个促进。

　　ChinaByte记者：开放源代码意味着安全吗？

　　卿斯汉：开放源代码对信息安全是非常有益的，但这并不意味着开放源码软件就是安全的。开放源码是保障信息安全一个非常有效的手段，但不是唯一的手段。一个软件不管是不是开放源代码，只有根据标准，通过信息技术安全性评估才能认为是安全的。

　　ChinaByte记者：你如何评价微软“政府安全计划（GSP）”的安全性？

　　卿斯汉：根本上是不能解决安全问题的，而且效果也不好评估。如果几行代码不公开是能够留后门的，但这不意味着就会有后门。开放源码对用户首先是个姿态，也有利于进行安全性研究和评测，而且用户也喜欢使用开源代码。