安全中国造：认证技术急先锋

       我们都知道一个政治经济学定律:生产力决定生产关系。根据这个定律，可以把人类文明分为三种：农业社会文明，工业社会文明，信息社会文明。农业文明使用的工具是镰刀、锄头，代表者是农民；工业文明使用的主要工具是锤子、机器(马克思说：农业社会是水推磨，工业社会是机器磨)，代表者是工人；信息社会文明使用的主要生产工具是计算机，代表者是知识分子。从世界范围来看，农业文明中国领先，工业文明中国落后，信息文明则全球在行动，这是大趋势。美国未来学家托夫勒说：面对信息社会趋势，不论贫富，各种文明人种都处在同一起跑线上。为什么呢？只要你是有知识有文化的人(生产者)，能使用计算机劳动(生产工具)，利用信息(生产资料)创造出可以交换的产品，产生了丰富的价值，就可以跳跃式进入信息文明社会。信息社会的根本是重视教育、重视人才。

　　信息社会文明从技术上讲有三个技术很重要：以CPU为核心的技术、操作系统技术、信息安全技术。三大技术中前两大技术国外暂时领先，我们不能掉以轻心，仍有追击之力。对于第三项信息安全技术，我们是大有希望占有较大技术份额，甚至有可能领先。试想：在整个信息化文明到来时，作为一个占全世界人口四分之一的民族，核心技术又一举占先，数字化经济、信息化社会将垂涎于整个国家和民族。那么国家的综合势力必定大上一个台阶。身为炎黄子孙，我们何乐而不为？因此可以说：谁不重视信息安全技术，谁将成为历史罪人!

　　安全哲学，世界同一

　　互联网本来是大学校园里几个学生为了彼此好玩而设计的,通过商业运作而向社会扩散。1993年美国前总统克林顿敏锐地看清了这个方向，提出了著名的信息高速公路，即NII计划，各国政府纷纷响应，在全球一炮打响，使互联网迅速覆盖全球。网络空间的建立，为信息化发展提供了物质基础。当大规模网络基础建成，新的大量应用开始的时候，才发现网络信息安全问题严重，它已成为当前制约信息化发展的瓶颈和需要优先考虑解决的问题。

　　十年来，中国的网络信息安全同世界大趋势基本保持一致，防病毒、防火墙、入侵检测、漏洞扫描、身份认证等等一应俱全，有的产品指标还优于国外。但是网络安全总体思路还是以防为主，"道高一尺，魔高一丈"，导致产品越做越复杂，补丁越打越多，成本代价越来越高。买了一大堆安全产品，网络安全还悬，有的单位甚至采取极端安全策略，搞物理隔离或干脆放弃使用网络，造成了很多信息孤岛，这又与网络信息化文明本质相背，违反了生产力决定生产关系的大规律。违反规律是要受到惩罚的！那么网络信息安全到底做什么？怎么做？

　　2005年美国总统信息技术咨询委员会给布什总统的《紧急报告》中，提出了信息安全的十大任务，第一位的是：标识鉴别(Identity Authentication)技术。很多人把Identity译成"身份"，这并没有错，学术用语应译为标识，范围一下就大多了，如：人有人名、用户有用户名、设备有设备名(编号)、数据有数据名、软件(进程)有软件(进程)名等等。

　　人类历史上，凡是伟大的人物都是相通的：以胡锦涛为总书记的党中央提出构建和谐社会；以布什为代表的美国总统咨询委员会提出建立可信世界。一为发展中国家的领袖，一为发达国家的元首，其思想都反映了新时代发展的脉搏，代表了世界趋势。和谐社会或可信社会的本质从单一的自然科学或社会科学都难以描述清楚，唯有二者的结合。在人类文明早期，科学是融为一体不分开的，后来各自独立，到了信息化社会要阐明一个大的问题，科学又是彼此不能分开的，从哲学上理解这恰好是一个"正、反、合"即肯定、否定、否定之否定的三段论吧！

　　可信是安全基础

　　和谐社会或可信社会的本质体现在社会的秩序和行为的准则，没有秩序首先要建立秩序，有了秩序则要维护秩序。建立秩序要靠标识认证，维护秩序则要靠行为监管。信息文明把人类生活从物理世界引向虚拟世界，虚拟世界由开始的无序世界，走向有序世界，最终需要对自己行为和交易活动负责，这样的世界才是可信世界，整个人类社会才和谐。信息安全是低层面的，信息社会安全才是通义。因此从技术层次上讲，网络信息安全的核心技术是：标识认证和行为监管。认证技术主要用于建立网络世界秩序(相当于TCP/IP协议对发展网络的作用)，监管技术则用于对网络世界的管理和控制。由于监管是建立在认证之上，并以认证为资源和基础，因此，必须首先发展认证技术。认证技术的重要性在于：它可以解决网络环境下复杂的身份识别和定位问题；由于认证技术的基础是密码，它将把网络攻击的技术门槛从一般计算机技术提升到专业密码分析，黑客将望尘莫及。由此可以大胆预言：未来从事认证技术和审计监管技术的安全公司将活得很好，关键是技术占先，产品至胜！

　　认证技术之争

　　目前，世界上已形成三种认证技术系统：PKI、IBE、CPK。

　　PKI：基于公共密钥基础设施技术实现的认证系统。1996年公布，很多国家在用，中国把它作为主流技术在推广。它的缺陷在于：一是处理能力低，一个证书库的处理能力在1000个左右，发证量在100万个左右；二是运行依靠CA的层次化机构和在线证书库支持；三是成本高，建设投入大，全国按100万个计算，将建设很多PKICA，由于行业不同，难以互相认证，导致"孤岛"效应；四是风险大，由于适用范围和发证量小，运行效率低，一旦证书库出问题，会导致系统瘫痪。

　　IBE：基于标识算法实现的认证系统。2001年欧洲学者公布。它省略了靠第三方证明的层次化CA机构链，把认证技术向前推进了一大步，但仍需要保留用户参数并依靠在线数据库支持，在国际上反映很大，很多国家用它取代PKI。

　　CPK：基于组合公钥算法实现的认证系统。2005年公布，发明人是我国著名密码专家南相浩教授，2005年6月由蔡吉人、何德全、周仲义、沈昌祥等院士和一些专家鉴定通过。优点：第一、不需第三方层次化CA机构链，网上握手即能证明；第二、发证量巨大，仅用25KB空间就能处理1048个以上公钥；第三、不需要在线数据库(LDAP)支持，稳定性充分保证；第四、成本降低，整个认证过程可以在芯片级实现；第五、效率大大提高，PKI十二步，IBE六步才能发一个证，CPK两步就实现了。

　　美国总统信息技术咨询委员会在2005年向布什总统提交的《网络安全：急中之急》的报告中提出建立规模化(十亿级)的认证技术，刚一提出立项，其实我们中国人已解决了。

　　作为构建可信世界的技术基础，CPK可以应用于可信计算、可信连接、可信应用等所有需要逻辑证明领域，并贯通从制造、服务到运营的整个价值链条，应用十分广阔，如：

　　一、可信计算：以单台计算机为基础，将通信部分剥离(由可信连接处理)，用CPK技术使软件产品标签化、验证技术通用化、CPK认证模块控制非授权软件，特别是恶意软件的加载和执行，达到可信计算环境。

　　二、可信连接：用CPK标识认证算法，对通信标识(签)进行认证和验证，提供真实性证明，从而将多次交互过程简化为一次过程(如可将现行SSL的连接过程从三步简化为两步)，直接实现任何两端的可信连接。它可用到无线网(包括手机通信)和各种信息网。

　　三、通用防伪系统：将PKI技术与RFID相结合，达成极高强度的防伪，有效防止仿冒和复制，特别是能够做到用一种验证机(可以是手机)检验成千上万种商品，票据等真伪，使打假难变成造假难。

　　总之，在信息化三大核心技术中，中国应当在安全技术领域去争得一席之地，又一个机会，机会永远属于有准备的诸位。中国有三千多家安全厂商，由于技术和产品问题困扰着它们，尽管奋力拼搏，日子也不好过，很明显，信息化安全业的技术大方向在于标识认证和行为监管，而CPK又是最具光明的技术。今年国内安全行业厂商在煎熬，大洗牌和大调整势所必然，出路就在于把公司调整到与应用结合，开发安全应用产品上。据说，一些国际巨头软件公司看到了网上应用的骤增，已把研发方向调整为信息安全领域，这是一个信号，也是一记警钟！中国信息安全业要很好发展，象目前这样小公司林立，管理混乱，低价拼搏，艰难苟活，是没有发展前途的。唯有的希望是学习韩国发展产业模式，以大带小。国家整体规划，认准安全行业方向(少建一个钢铁厂投入安全行业而已)，重点资助扶持5-10家安全公司成为专业龙头，带动一批做辅助产品的小公司，以龙头带动群体，形成产业链，首先把中国信息安全做好，择机向世界进军，可成大业.