安全与信任的半毛钱关系

1、安全是什么?

提到安全,安全专家通常说是保护机密性、完整性和可用性,但只提目标是不够的,要把所有涉及方都列出来。例如企业甲,买了厂商乙的信息技术产品,面临第三方威胁源的攻击,通常的cybersecurity就是甲方去应对第三方,包括外部黑客和内部恶意员工等。乙方例如Intel、微软、Oracle、Adobe、华为和思科,在甲方看来,乙方的技术帮助他们实现了数?#21482;?#30340;业务。在安全人员看来,每天要盯着他们出了啥漏洞,催着运维去打安全补丁。甲乙双方是同一战线,共同应对第三方的攻击。

但是厂商会不会也是威胁源的一种呢,会不会作恶呢?把能力和动机分开说,厂商是有作恶的能力的。现在的产品很复杂,随便买一个盒子回来,里面的?#37202;布?#21644;代码,企业是没有闲工夫去分析的,多亏有了安全?#33455;?#32773;这个群体,经常披露厂商作恶的事实,例如上海广升在?#25237;?#23433;卓手机上的OTA组件会把用户的所有短信回传到自己的服务器,三星电视的语音识别功能会录下客厅的所有谈?#23433;?#22238;传,家用路由器故意留的远程后门数不胜数。

一些国际大厂为了透明化,如微软开放了?#21019;?#30721;给人们审查,但我们使用的Windows并不是?#21019;?#30721;的。学过计算机原理的都知道,?#21019;?#30721;是人写的,给人读的,是不能执行的,经过编译器编译成机器能识别的二进制代码才是我们电脑上的东西。编译器是可能出问题的,苹果XCode编译器曾被发现某非官方下载源被人修?#27169;?#25152;有下载了该编译器的开发者写的app都有安全问题。即使编译没问题,最终产品经过知名实验室?#29616;?#25343;到CC等证书,企业买回来装上就安心了吗?别忘了还有功能升级包和安全补丁,更直接的,操作IoT的命令在云端,这些都是厂商可?#36816;?#26102;修改软件的一种合法能力和途径,保留了可以作恶的技术能力。

2、信任是什么?

即使厂商有作恶的能力,企业仍?#36824;?#20080;其产品,除了没得选择(Intel?#37202;?#31561;)之外,主要还是相信厂商不会作恶,这就是信任。信任就是相信对方的正直、诚实和?#20449;擔?#19981;会对我?#22815;怠?/p>

?#20204;?#24466;困境来举例,两个人合谋犯案,警察抓到后由于现有证据只能各判1年,警察不爽,想了一招,分别和两人谈话给出2个选择:1、你沉默,如果 a)同伙招供,同伙无罪释放,你判3年;b)同伙也沉默,两人各判1年。2、你招供,如果 a)同伙沉默,同伙判3年,你无罪释放;b)同伙也招供,两人各判2年。

简单来说,如果沉默,是1年或3年。如果招供,是无罪释放或2年。为了个人利益的最大化,招供肯定是最佳选择,因为不管对方做出何种选择,自己要么无罪释放,要么判2年。如果沉默,有可能被判3年,至少也要1年,根本没有自由的可能。但是如果两人互相信任呢?彼此相信对方能为了共同的利益考虑,而不是靠害别人来成就自?#28023;?#37027;么两人都会分别选择沉默,实现“双方整体利益”最优的结果:各判1年。

厂商一般不会明目?#35834;?#30340;作恶,因为一旦被公开,?#20040;?#19978;自己的声誉和生意。要做也是?#24471;?#30340;做,以为不会被发现,但纸终究包不住火,德国大众在汽车尾气检测中作假,相信人们对德国制造的信任度会大大降低。

企业是否要信任某厂商,除了翻看该厂商过去的历史记录,以及少量的购买和?#26434;梅?#21153;,经过较长时间的合作关系,才能有个判断。这种?#21487;?#19994;活动,照理说有法律和合同等市场经济的规则来遵从就够了,但并不奇怪的是,别的因素?#19981;?#25554;上一脚,例如“自己人”和“外人”。中国移动,电信和联通采购华为产品?#20445;?#32943;定是认为从“自己人”手里买东西,对华为的安全信任度很高。英国电信就不同了,因为华为是“外人?#20445;?#33521;国电信会提出各种安全问题要求华为回答,以加强自己购买华为产品(为了省钱,没听美国的)的信心。说到底,这是中国和西方意识形态的分歧所造成的阵营区分,存在大量分歧时要建立信任几乎是不可能的。美国肯定认为,如果华为产品遍满全球各国的通信基础设施,风险是无法接受的,未来出现网络战争?#20445;?#19968;次毁灭就够,根本不需要参考从成立到今天华为做过什么,以及没做过什么。这估计是特?#21183;展?#21160;他的盟友们封杀华为5G的原因。

3、因为安全,所以信任?

建立SDLC流程,在产品开发到发布的各个?#26041;?#20013;?#24230;?#23433;全活动,把产品做的更加安全,这是好事。但遗憾的是,穿格?#30001;?#30340;程序员用技术不可能解开政客们的心结,安全技术是用来应对黑客攻击的,与解决信任问题只有五毛钱关系。

微软2002年成立Trustworthy Computing部门,把Windows和IE整的漏洞是少了,也有政府安全计划GSP与各国政府对话,但是十多年后的如今Windows 10?#20445;?#24494;软还是要与国内公?#24452;?#21046;出“政府特供版”才能被列入中国政府采购名录。

华为2012年成立安全能力中?#27169;?#25552;升安全工程能力,后来改名为安全与用户隐私保护实验室,从部门名称上就知道这都是在技术上的努力。英国政府2015年说“华为产品对英国没有安全威胁?#20445;?018年改成“构成安全威胁?#20445;?019年的最新结论?#30452;?#25104;“风险可控”。我相信这5年来华为的产品安全能力是一直在稳步提高,英国这一波三折关于信任的结论,肯定是由别的因素所决定的。

4、因为信任,所以安全?

信任不能带来安全,这个很好理解。中国人信任中国公司,买华为小米OV等安卓手机,但是安卓手机并不见得比苹果手机更安全。杭州与新加坡直飞有两班,分别是中国的河北航空和新加坡航空旗下的廉价酷航,中国人偏好河北航空,新加坡人偏好廉价酷航,实际上河北航空用的是波音737,而酷航则是大得多的787。NSA信任国防承包商Booz Allen,他们派去NSA驻场的工程师却有一位姓名叫斯诺登。

发表评论