从网络安全看网络演进

　　互联网的前提是假定用户是自律的，用户处在彼此信任的小规模封闭的网络环境，因此并没有类似相关的安全机制，也没有考虑在开放环境下操作系统和应用的安全，因此出现了很多安全问题。

　　从被动防御到主动防御

　　被动防御是在探测到发生攻击后，我们根据路由器和攻击数据包的特征，一级一级找到源头。但被动防御，目标组建是网络，在发现和控制攻击之前，或多或少已经受到了破坏，那么现在提倡主动防御，也就是说在分布式攻击可能的所有阶段，要主动追踪和控制，防火墙和杀毒软件是可以防御木马的，但一个新的互联网安全问题出现的时候安全厂商是不可能马上推出产品的，有些厂商即便推出安全产品，也要等一会才能投到市场。对于未知的攻击，可以说内部攻击是很难有保护的，从这个意义上说，我们大量部署防火墙杀毒软件，并不见得是非常有效的办法，而且网络会复杂，管理起来成本也较高。

　　那么能不能在协议设计的时候，加上一些安全防范控制？过去互联网中发送信息的人都是已知的，现在开放环境下，很多垃圾邮件都是在未知情况下产生的。所以未来互联网里需要有访问控制，像TCP。现在IPv6将会是向下一代未来网络发展中，目前来看很难避免的步骤，目前来看也是一个应对空间不足的有效手段。

　　IPv6的设计是在互联网很多安全问题暴露前提出来的，目前来看IPv6也不如IPv4成熟，仍有缺陷。我们需要往IPv6方向去走，但是并不要认为IPv6能解决所有的问题，更重要的需要节点设备里面要融入安全控制的能力。如果说我们在互联网能够严格控制和规范业务流，可以根据业务流的特性，来判别它是符合正常的，还是属于垃圾邮件的，我们就可以通过这个来控制业务流，在业务节点设备需要每个设备安全，传统的互联网网络是不管安全的，安全是交给终端处理，未来的互联网，希望能够承担起安全的责任。现在中国提出的原地址印证是一个有效的办法。

　　移动互联网的安全挑战

　　实际上涉及到我们通信的七个协议里面，都跟移动互联网、安全有关。据2012年全球相关分析，在ios7里发生的安全事件占了75%，发生在第七层占了25%，第三层和第七层是主要问题发生的根本。终端本身也有终端的安全，有隐私保护、病毒木马的攻击，另外还有结构的安全。伪基站也是一个全球性的大问题，此外就是网络的安全和安全管理层面，所以移动互联网的安全环节比专业互联网还要更广泛。

　　移动互联网的出现，改变了我们的应用习惯，在PC互联网时代，用户浏览网站的主要手段是在浏览器里面输入网址，而在移动互联网时代，基本上都是APP了。APP带来很多安全问题植入后门是很容易的。移动互联网涉及到很多安全问题，这里边是需要通过管理来实现安全的。

　　目前有上百万种APP情况下，用户怎么找到自己需要的APP呢？现在轻应用应运而生，基于搜索引擎，还有社交网络，本质上还是一个浏览器，涉及到的环节很多，例如微信的公众号，本身就是一个基于HTML5的轻应用，并不需要大家把应用都下载到终端上面。本身跟CSS3、DOM丰富了多媒体的能力，也可以进行浏览应用跨平台，HTML5本身也带来很多安全隐患，对本地储存等有新的安全危险。所以在互联网上，每一种新的技术实际上解决了原有一些安全问题可是又引入新的安全问题。

　　域名服务器的安全问题

　　目前IPv4的根服务器十个在美国，一个在英国，一个在瑞典，一个在日本。域名体系的安全是受制于人的，但是IPv6时代有没有可能重新增加根服务器，技术上是有可能的，中国现在也在努力争取，希望我们作为一个网络大国也有一个根服务器能放在中国。

　　DNS本身查询要经过很多环节的，本地查询的时候是给不出答案的，根服务器首先是引导我们到CN去查，要求各个节点的通信是可靠的，否则的话就不可能查到。所以现在有人提出来，是不是一定要到根服务器去查，能不能把查的很多东西下放，下放到本地节点，把权威源改到本地结点，降低对数据链路长度和本地性的要求，如果落到客户端的命名，会带来一些好处，比如说效率更高了，降低对第三方DNS的依赖。

　　在这种情况下我们还会有一些新的问题，因为这个时候基于客户端的命名来添加本地，作为一个虚拟的根服务器，在这种情况下要保证本地节点的命名，在整个命名空间里面是可见的。DNS本身也有很多安全漏洞，最大缺陷是我们收到解析是没有办法印证解析是否正确、真实，攻击可以从中来给你一个虚假的DNS的解析。通过加密把原文取出进行一种加密，把密钥通过公钥解除加钥，跟自己算出来的两者来对比，如果一致，说明这个是真实的，如果不一致，说明是假的。保证我们从DNS得到的数据是正确的，但是DNSSEC所有者应该是资产的印证者，实现了对分散化DNS服务器的印证，提供了很多安全的保证。目前在根服务器和域名上使用，但是它本身也有安全问题。工业签发是由实体执行的，目前根区域的DNS密钥的签发，根服务器不是我们国家所控制的，那么.CN的印证权并不在我们手上掌握。

　　下一代网络的选入体系

　　现在互联网大多数控制功能都是后期加上去，而不是在网络设计之初统一考虑的。分布式的逐步添加的控制和管理，他们之间缺乏协调。很难有效收集网络的状态，发现定位网络的异常。

　　SDN现在提出的软件定义网络，希望改变这种方式，通过一种逻辑上集中的网络管理和控制。传统的互联网是分散的，每个路由器上都有其控制平面。我们可以看到SDN本身有资源的部分，通过资源控制接口达到了SDN的控制，最上边是SDN的应用场，彼此间把传送跟控制分离了，这样一来有可能在物理传送资源是独立的，逻辑上的控制是统一的，我们可以说传统的路由器是有节点控制功能也有传送功能，SDN把功能独立出来，变成一个网络操作系统，这样底层网络路由器成为纯粹的转发功能。因此过去路由器是各自独立选入的，根据集中以后有可能对全网进行优化，在这一点上，应该说可以灵活实现控制面功能的重构，顺应大数据时代的时空动态性。

　　SDN的时候已经考虑了多个层次的安全措施，即便如此，SDN既有安全上的优点也有安全上的问题，SDN安全优点就是说通过对安全影响的隔离，能识别对安全敏感的业务，并以安全的方式来分开，比如说专用协议和安全协议，这些处理能够自动进行。运营商需要对目前网络状况有一个全局的观点，这比过去单个设备管理起来更好一点。SDN本身也可能有漏洞，也可能侵犯隐私，过去在传统硬件上，是不太可能对硬件进行修改的，现在SDN是有可能通过软件对硬件功能进行修改，就有可能产生错误的配置。

　　SDN既能解决一些安全问题，也会引入一些新的安全挑战，我们要考虑的是怎么能加强安全性。

　　（本文系根据邬贺铨院士在“中国未来网络发展与创新论坛”上的演讲整理而成）

　　中国工程院院士 邬贺铨

关注读览天下微信， 100万篇深度好文， 等你来看……