-从美军Windows2000服务器被攻破看网络信息安全

　　雁鸣

　　“没有信息安全，就没有完全意义上的国家安全，也没有真正的政治安全、军事安全和经济安全。…因此，要把我国的信息安全问题放在全球战略考虑，…”

　　　　　　　　　　　-中国工程院院士、国家863计划专项研究专家组组长何德全

　　“通用准则认证是全球公认的、最高等级的、独立的、评估信息技术产品安全特性和能力的国际标准(ISO15408)，该准则在2001年正式成为中国的国家标准《信息技术安全技术信息技术安全性评估准则》(GB/T18336)。Windows2000在去年10月在美国获得通用准则认证，这意味着Windows2000具有迄今为止操作系统在真实环境下最广泛的适用范围。”

　　　　　　　　　-微软新闻公告：《微软在中国签署“政府源代码备案”计划协议》

　　“3月10日黑客利用微软Windows2000缺陷攻击并控制了美军网络服务器，…美国陆军对网络进行扫描之后发现有资料从它的多个内部网络服器上被输出到一个‘不明确的区域’，从而发现这个安全事件。”

　　　　　　　　　　　-《联邦计算机周刊》：《Window2000安全缺陷导致美军网络服务器被控制》

　　《万分危险的微软“政府安全计划”》一文的部分读者反馈：

　　“…舆论是什么?在中国什么也不是！

　　…假公济私的事情还少么?

　　…假如…照样把法律当空文的话,即使无论怎么说,其实也无所谓的。

　　危险,危险是什么?就我看,关键是把关的人,而不是微软。”

　　　　　　　　　　　　　　　　　　　　　　-菁菁蓬蓬3月13日(IT业界论坛)

　　“微软不过是一个美国公司，作为公司，必然追求最大利益，作为美国公司又肯定只能听从美国政府的，绝对是美国利益第一。…”

　　　　　　　　　　　　　　　　　　　　　　　　　　　-NM 3月14日(eNet)

　　“你的文章提出：‘中国信息安全产品测评认证中心与外界的交往，必须受到高度的安全监管，否则，这种重要的政府安全机构就会成为收买、影响、控制和窃取安全机密的对象。’我听说微软将要付给测评认证中心六百万美元的‘测试费用’。‘吃了别人的嘴软、拿了别人的手软’，测评结果可想而知，这样，中国的网络安全就成了失去哨站的防线。”

　　　　　　　　　　　　　　　　　　　　　　　　　　　-MP 3月14日(Sohu )

　　“舆论是什么?在中国什么也不是！”

　　这是何等悲愤的一句话。

　　如果舆论不能起作用，这是一种社会的病态、深深的病态。当记者被红包所控制、当媒体被厂商广告费所制伏或者被某些人想掩盖真相而封口、当民众对执法的人失去了最起码舆论监督能力而得出“无论怎么说,其实也无所谓的”这样绝望的结论的时候，我们就应该警醒，国家面临何等的危险！

　　不断出现的疑点，协议中有没有金钱的条款？

　　“中国信息安全产品测评认证中心”与微软签署“政府安全计划”协议。以盖茨的话来说“鉴于这个协议对于微软件公司来说有重要的意义，所以说它是具有里程碑式的事件，…微软同中国的关系方面。…决定由我到中国的时候，来签这个协议。”

　　首先，为什么微软把“政府安全计划”在他们的中文新闻公布当中改称为“政府源代码备案计划”？

　　为什么要把“被控方式查看”(”with controled access to”)翻译成中文的“可控方式查看”？

　　为什么明明是不可能看到全部的代码，而盖茨在回答《人民日报》记者“微软会在多大的程度上向中国开放他们的源代码？”这个问题的时候说“我们百分之百公开我们全部源代码”(注意：这里使用了“百分之百”和“全部”两个词)。

　　为什么这次签约要秘密地进行？为什么签约之后只由微软单方面发出新闻公告？

　　为什么这是个秘密协议，内容不能公开？但微软却可以随心所欲地按照他们的方式去谈论和讲述这个协议如何如何，去误导公众？

　　吴世忠在先前的谈话中承认：微软操作系统涉及许多其他部门与机构的内容，这些内容，不会“开放”，比如软件中涉及美国政府的密码等…。然而，在他新的谈话当中，却改口说：部分涉及到第三方知识产权的源代码，微软无权与签约方分享。

　　微软在新闻公告当中对公众说：“政府源代码备案计划是一个无需付费的计划”，既然微软谈到了金钱的问题，读者反映的这样一个需要核实的消息：“微软将要付给测评认证中心六百万美元的‘测试费用’”。我们希望签约的双方能够就这个问题给出一个答复，当然，我们不希望得到“律师方式”的诡辩答复，因为律师们完全可以说：“协议文本中没有这么一个条款。”原因是，协议文本中的措辞可能并不是百分之一百地准确翻译出这个消息的每一个字、词。我们想要知道的是，究竟有没有任何有关金钱上的条款。

　　得到金钱上的好处之后，“中国信息安全产品测评认证中心”的所作出的判断的可信度就存在极大的疑问。

　　在包尔默来中国操作所谓的“62亿大单”的时候，倪光南院士一针见血地指出：“微软高价聘请麦肯锡写的《中国软件产业发展战略研究报告》为中国提出了许多‘远景目标’、‘发展阶段’和‘举措’等等，但就是不要中国做操作系统。按照报告的‘发展战略’，在操作系统方面中国采用Windows就可以了，做操作系统不是中国人的事，最多是做Windows中一个安全模块的‘本地化’而已。”

　　其他方面，我们还可以记得微软金钱资助下得出来的“微软服务器拥有成本低于Linux”等等各种各样服务于微软市场运作的“研究、调查结果”。

　　“微软与政府建立安全合作机制”？

　　明明是微软针对政府采购的一次市场运作，以盖茨的话来说就是“…对市场的承诺，因为我们的产品不仅要在中国市场还要在全球市场取得成功，…”，然而，“中国信息安全产品测评认证中心”主任吴世忠签约后对媒体的一系列谈话都在力求捧高这个协议的“意义”，这更增加了我们的疑问。吴世忠先生说：这是关于信息安全的合同，其中可能涉及到国家安全，此类签约事件，签约者都不宜大事炒作。吴世忠先生还说：有一点很重要，微软这次签约，意味着微软与政府建立安全合作机制的开始。这不是销售协议，也不是商业合同，所以不能用商业合同来衡量微软此次签约的意义。

　　这就奇怪了，微软的不干商业。正如吴世忠先生自己也承认的：微软毕竟是一家商业机构，以盈利为目的。

　　微软的操作系统软件被专家发现有有意设置的“后门”，现在居然与中国签订起关系到“国家安全”的协议，居然“与政府建立安全合作机制”。

　　“中国信息安全产品测评认证中心”是中国网络安全防线的一个哨站吗？我们应当怎样认识它的作用？

　　从美军Windows2000服务器被攻破看“通用准则认证”究竟能带来什么“安全”？

　　下面是今天(2003-03-18)美国各主要媒体上关于网络安全的一个头条新闻：“3月10日黑客利用微软Windows2000缺陷攻击并控制了美军网络服务器，…美国陆军对网络进行扫描之后发现有资料从它的多个内部网络服器上被输出到一个‘不明确的区域’，从而发现这个安全事件。”(2003﷓3﷓18《联邦计算机周刊》：《Window2000安全缺陷导致美军网络服务器被控制》)

　　因此，我们很容易就能明白为什么美国国防部要采用Linux而抛弃Windows，以便大大增加安全度，并且把原来四十多亿美元的信息运作成本降低为仅仅几亿美元。

　　很不幸的是，盖茨才刚刚花了大笔市场推广费用及亲自出马给中国送来过Windows2000的“安全”信息。

　　让我们认真地学习一下微软新闻公告：《微软在中国签署“政府源代码备案”计划协议》：“政府源代码备案计划是微软公司继获得信息技术安全性评估国际‘通用准则(Common Criteria)的认证’后在信息安全领域的又一重大举措。通用准则认证是全球公认的、最高等级的、独立的、评估信息技术产品安全特性和能力的国际标准(ISO15408)，该准则在2001年正式成为中国的国家标准《信息技术安全技术信息技术安全性评估准则》(GB/T18336)。Windows2000在去年10月在美国获得通用准则认证，这意味着Windows2000具有迄今为止操作系统在真实环境下最广泛的适用范围。通用准则认证提供了一套标准，使得全世界的客户可以客观地评价信息技术产品和系统的安全功能。”

　　上面这段话，也是中国信息安全产品评测认证中心负责人吴世忠签约后对媒体的一系列谈话中所强调的。

　　于是，我们就可以接下来对“评测认证中心”进行定位。

　　“中国信息安全产品测评认证中心”是什么“安全级别”的机构

　　按照微软新闻公告的介绍，“中国信息安全产品测评认证中心”是这样的一个政府机构：中国信息安全产品测评认证中心(CNITSEC)是中国唯一经国家授权成立的信息技术安全性测评认证机构，也是中国唯一按WTO规则和采用国际通用安全评估准则(GB/T 18336 idt ISO 15408)标准运行的国家认证实体，负责对信息技术产品、信息系统和信息技术服务的安全性进行测试、评估和认证。

　　米阿仑先生在《如何与“单赢”的微软“继续双赢”？》(3月15日人民网)一文中指出：“英国政府跟微软公司签定了政府源代码备案计划，而英国政府并没有向本国市场和客户说那是‘增强政府对于Windows平台安全性的信心’，而是明确说明，那是按照信息安全管理(BS ISO/IEC 17799)等国际标准对所有软件采取的普遍措施，目的是为用户和市场提供基本的信息安全管理框架，说明设置某产品可能面临的风险和风险管理指南，没有任何为客户和市场作出该产品安全的推荐或保证的意思。”

　　因此，我们可以明白，“中国信息安全产品测评认证中心”是一个面对用户市场的商业性测评机构。因此，这离真正的“国家网络信息安全”还有很大的距离。我们要认清楚它的“安全级别”，千万不要认为它的“测评、认证”能够提供“国家级”的安全保障。

　　那么，什么才是“国家级”的“安全级别”呢？这方面，中国确实要“与世界接轨”。这里引用一段新闻：

　　《美国称中国非法获得美航天技术我专家澄清事实》(3月13日新华网)

　　“…参与卫星发射的中方高级技术人员、西昌卫星发射中心原副总工程师穆山说：‘美方工作组对技术安全的控制非常严格，中方在承担卫星发射任务时，与美方技术人员进行的所有交流都有美国国防部派出的安全官员在场。’”

　　下面，让我们从最新鲜的消息中努力体会一下什么是“网络信息战”。

　　“网络信息战”在进行、在发展

　　“法新社3月14日报道称：…‘我们有特别行动部队在伊拉克内部活动，我们正在对他们(伊拉克)的防空网络进行定期攻击，’美国军事专家、曾任五角大楼战略家的安德鲁·克莱皮纳维奇说，‘如果我们现在还没有从一定程度上对他们实施不同形式的信息战，不管是植入电脑病毒，还是破坏其数据库等，也就是黑客们通常所做的，我会觉得很奇怪。只不过(我们的攻击)重点更突出，更具有杀伤力。’

　　美国国防部官员一直宣称‘伊拉克战争’将打破以往的战争模式，许多人因此认为，‘信息战”将像当年海湾战争中使用的‘聪明’炸弹一样，被誉为‘革命性成果’。

　　长期以来，美国军方一直把攻击性的‘信息战’作为最机密的武器，由美国航天司令部实施。直到最近，这项任务才转由美国战略司令部执行。

　　美国军方高层日前承认，美军在1999年科索沃战争中首次使用‘网络战’，但当时有关行动的细节几乎不为人所知。据称，‘网络战’之所以很敏感，是因为除美国之外，别的国家也在尽力发展类似的攻击能力。

　　…‘网络战’被认为是对发达社会的一种潜在威胁，因为现代社会依赖于电脑网络和电子数据，例如资金转账及管理、商业交易、发布新闻和信息以及运行诸如电力和水等基础设施等都依靠电子网络来完成。”

　　　　　　　　　-《网络战打响：美“黑客”攻击巴格达电脑网络》(新华社特稿2003-03-15)

　　微软的操作系统在全世界都可以买到，相信伊拉克使用的不会是比这安全性更差的操作系统。

　　在讨论如何研制、使用更安全的操作系统之前，让我们多读几段何德全院士对网络信息安全的重要论述。

　　何德全院士对网络信息安全的论述

　　国家863计划专项研究专家组组长、中国工程院何德全院士的一部分重要论述如下：

　　在综合国力竞争十分激烈、国际局势瞬息万变的形势下，一个国家支配信息资源能力越强，就越有战略主动权，而一旦丧失了对信息的控制权和保护权，就很难把握自己的命运，就没有国家主权可言。…作为信息战的战场，敌对国家之间、地区之间、竞争对手之间通过网络攻击对方的信息系统，窃取机密，有人妄言可以不费一枪一炮就能达到攻城夺隘的目的。…信息安全的保障能力是21世纪综合国力、经济竞争实力和生存发展能力的重要组成部分，我们应将其上升到国家和民族利益的高度，作为一项基本国策加以重视。

　　谋略具有重要意义，人与信息隐蔽、陷阱、诱骗等技术相结合又通过网址、程序的不断变异和多样性都可以使进攻者不知何以攻，…

　　近年美国由军方到社会全面推出了"信息安全保障体系"概念，它概括了网络安全的全过程，即边界防卫、入侵检测、安全反应和破坏恢复；…提出了信息安全的几个重点领域，即关键基础设施的网络安全(包括电信、油气管网、交通、供水、金融等)、内容的信息安全(包括反病毒、电子信箱安全和有害内容过滤等)和电子商务的信息安全。

　　结合我国网络安全的实际情况，我们应注重把握好以下几个方面原则：

　　要善于在网络环境下保护自己，做到趋利避害，为我所用。应该看到网络安全问题是在网络发展的过程中产生的，但是安全这一手又必须硬，不能软，否则也保证不了发展，使自己陷于被动。

　　我们的主动权来自对安全形势客观、清醒的判断。…霸权主义依然存在，在网络空间等领域还有所发展。对我国在信息安全方面存在的现实威胁和潜在隐患(软件"后门"、网上泄密等)要有足够的警惕，要居安思危。

　　解决我国的信息安全问题绝不能依赖国外，只能走独立自主的发展道路。在任何情况下都要确保网络管理、网络控制和网络政策制定的自主权，并开展具有自主知识产权的关键产品和关键技术，尽快实现产业化。有了自主的信息安全技术和产业，就能从根本上摆脱对于引进的信息系统难以安全利用、有效监控的被动局面。…我们应下决心在几年的时间内基本实现主要信息安全产品的国产化，这就需要国家的推动、引导和必要的投入。

　　努力探求能形成"杀手锏"的战略性技术，以争取在战略上具备威慑优势和技术王牌。我国的"两弹一星"就是这种技战术的例子。拥有并不断探索这种战略性技术应成为国家的长期策略并集中资源，组织攻关。操作系统、密码专用芯片和安全处理器等应该属于此类。现有的操作系统和信息处理芯片等组件是由西方几家大公司主导的，从战略上看，必须开发我国自己的操作系统，目前的(开放源码)自由软件趋势是个良机。

　　网络信息时代的“两弹一星”

　　可以说，“操作系统和信息处理芯片”就是网络信息时代的“两弹一星”。

　　现在，中国的“龙芯”和“方舟”等CPU研制出来了，红旗和中软等公司也利用开放源码软件发展出操作系统。我们已经有了很坚实的起步点。

　　在这个关键的时刻，任何错误的决策都可以把这些战略性的技术成就扼杀与葬送。(也许大家都读过惨痛的中国“支线一百座飞机”如何功败垂成，在与“麦道”合作当中最后被“波音”“撤销”掉，以至今天通通要买外国飞机。)

　　何德全院士提到“(网络信息安全)谋略具有重要意义，人与信息隐蔽、陷阱、诱骗等技术相结合又通过网址、程序的不断变异和多样性都可以使进攻者不知何以攻，…”。如果自己不能完全透彻地掌握研发操作系统，而只能在被控的状态底下看一下别人“展示”的片断所谓“源代码”，这一切谋略以及“边界防卫、入侵检测、安全反应和破坏恢复”等操作，只能永远停留在纸面上。

　　只是作为一种常识性的网络攻防游戏思考，你都会明白，如果自己使用的操作系统是别人造出来的、在世界上到处都可以得到，别人可以在实验室里面对这样的操作系统进行无数的“攻击手段试验”(世界上还没有天衣无缝的软件)，其安全系数会剩下多少。

　　然而，如果别人简直无法得到到你的操作系统，而当他在网络上企图试探你的网络的弱点或缺口的时候，立即能够被自己的“入侵检测”所发现，同时，自己手上拥有多个版本的操作系统，可以变换使用(就像通讯与雷达变换工作频率一样)，你的生存能力就能大大提高。

　　因此，应当说，“网络安全”也是一种非常有趣味的“游戏”，比玩“传奇”上“天堂”需要更高的智慧。

　　“网络信息安全的哨站”-就在我们的认知与决策之中。

　　(雁鸣E-Mail: yimingyan@yahoo.com )

　　(版权为作者雁鸣所有，链接、转载或复制请与作者联系。)

　　订新闻冲浪 互动点播 赢彩屏手机MP3播放机！
　　任你邮印象30，30M大空间+彩信相册，免费试用！
　　快感体验尽在天堂《冰镜湖》 特別邀请传奇玩家