荣钰专栏周6月16日：安全的电信网是不可能的

荣钰专栏周6月16日：安全的电信网是不可能的
点击此处查看全部科技图片

　　荣钰，毕业于西安电子科技大学，现任《网络世界》报社助理总编，评测实验室主任。从事网络通信报道近十年时间，网络产品测试5年。特别关注网络技术变化之后对整个社会带来的冲击，是一个网络技术爱好者。酷爱自行车运动，公路车、山地车、折叠车一个都不能少。但我是自行车运动最坏的代表，越骑越胖。

　　6月12日～6月16日，新浪科技把一周时间留给荣钰，新浪科技注。

　　安全的电信网是不可能的

　　荣钰的博客 博文

　　6月16日 星期五

　　尼奥会解救每个智能通信终端中隐藏的火云邪神，这就是电信网面对的安全局面。

　　我有时候是一个非常悲观的人，对于此次5月17日提出的电信网络安全话题来说，我相当悲观，因为我觉得这是一个近期乃至未来很长时间都无法解决的问题。

　　谈到安全的时候可能有些传统电信网的遗老遗少们又会跳出来说IP是不安全的……闭嘴吧，说这些有什么用呢？更何况不健全的协议只是问题的一方面。当传统的电信网从网络复杂、终端简单演进到网络复杂终端智能之后，就不是抱怨协议那么简单的了。

　　首先说说终端和电信网的处理能力对比吧。过去的TDM网络估计不会有人说什么DoS更不会有人说什么DDoS(分布式拒绝服务攻击，这在今天IP网里是一种最最普遍的攻击方式)。过去的电话网络是一个复杂网络为简单终端服务的模型。你期望用一台电话机把一个电话交换机弄瘫痪吗？如果搞瘫了只可能是程控机的软件有什么bug，恰巧您胡乱的按键触发了它。单从处理能力上来说，那是理论上都很难做到的。否则你就是《功夫》里的火云邪神，能做到台词里说的“天下武功，无坚不破，唯快不破！”，每秒拨打很多个电话。

　　但是今天的情况不一样了，接入电信网的终端丰富多样，特别是引入了PC、PDA和智能电话。这些终端的处理能力有多强呢？PDA和很多智能电话的CPU处理能力都和往日Intel的奔腾乃至II、III代CPU能力相似。PC就更不用说了。而电信设备的处理能力相当于多少呢？别被那些大盒子吓住，要知道通常情况下那些复杂的信令、协议处理绝大多数情况ASIC是帮不了什么忙的。而这些大家伙他们用的处理器的能力最高也就和现在市场上通用IA架构服务器的处理能力相当，有些也就是台式机的芯片。看到这可能您还会长出一口气，似乎处理能力上还有些差距。但是，通常做DoS攻击的程序他们别的都不管就是发起请求，调动所有的资源只做攻击(比如发起呼叫请求)，一个小程序就可以造就一个火云邪神。而局端设备可不能活得如此单纯，他们还要考虑计费、管理等等事情。这样看，处理能力的天平就像终端那侧倾斜了，DoS攻击足以让很多局端设备瘫痪。而若是软件高手，纠集起千千万万的火云邪神，这样的DDoS攻击是难以防范的。这就是下一代网络所要面临的第一个安全问题。一个智能终端大普及的必然趋势下，所要面临的问题。

　　智能终端的普及换句话说就是开放的类PC终端的普及。他们用开放的软件、硬件平台，比如Windows或者类Linux的操作系统，软件的开发使用通用的开发工具比如C语言、Java语言。加上具备计算机知识和开发人员的普及，开放的软硬件平台不仅仅带来了DDoS攻击的威胁，还带了网络的不可控、安全的不可控。世界上有太多的人都可以成为《黑客帝国》中的尼奥。我从来不认为运营商能够限制令他们头疼的BT应用，VoIP应用，事实也是这样。你封了这个端口，那么好明天有千万个尼奥会站出来编写一个新版本的软件，客户只要升级一下软件，前天运营商的努力就会付之东流。运营商可以做深度内容检测，但是千万个尼奥又会利用他们的知识驾轻就熟的开发一个类似IPSec或者SSL的加密模块，所有的P2P流量又都可以加密。在这种P2P的通信模型下，在摩尔定律的推动下，软件加密对于终端、整个系统来说处理能力决不是问题。而对于运营商来说你那是不可能应付的。

　　千千万万的尼奥唤醒遍及世界的火云邪神结合在一起，谁能面对？

　　今天在企业网中微软、思科以及信任计算组织在努力推动终端安全接入控制的解决方案。这一方案的确能够从很大程度上解决网络安全的一些问题。但是，对于电信运营商来说，这一方案几乎不可行，电信网不是铁板一块，总会存在安全的短板。为什么？因为终端的投资者和产权拥有者多种多样，作为一个服务提供商很难强制要求用户使用什么不使用什么，试想你能让客户必须用Linux吗？微软也不会同意的。况且，统一由运营商提供终端的做法仅从投资上就难以达到。电影《黑客帝国》非常前瞻的预测到了这一前景，在电信网络中总会有一些非法的用户，潜在的攻击者，如同幽灵一般攻击他们的网络，唤醒那些安分守己的“沉睡者”。把一个平常人训练成为可怕的杀手“火云邪神”。

　　假如那些传统电信网的遗老遗少们能够扼杀IP的发展。但是他们决不可能也绝没有能力遏制摩尔定律为代表的智能终端产业所带来的产业发展？况且，他们也不能阻碍Internet以及

　　写到这里，我悲观以极！虽然我知道很多网络从业者在绞尽脑汁解决安全的问题，但愿他们能够成功。但是我要说的是不要相信那些市场化的所谓做到的绝对安全解决方案，鬼才信。而按照传统电信网的思路去解决电信网络安全问题只能是死路一条。世界真的变了。