邬贺铨院士：创新驱动新基建 网络安全新挑战

admin
admin
admin
100990
文章
86
评论
2020年9月2日14:41:26评论172 views字数 6150阅读20分30秒阅读模式
本文整理了刚落幕不久的BCS2020北京网络安全大会新基建峰会上邬贺铨院士的主题发言 ，以飨读者。
演讲全文
新基建是什么？实际上新基建它包括了新一代信息基础设施，融合技术设施和创新基础设施。其中新一代信息基础设施又包含通讯网络基础设施，新技术基础设施，还有算力基础设施。
那么其中通信网络基础设施就是以5G作为首选，我们整个新一代信息基础设施可以用云计算的各个层来描述它，最底层是网络运营商提供的5G、4G、IPV6的互联网、光纤传输系统和网络安全系统。
作为基础设施服务这一层，还有我们企业自建的数据中心以及第三方的互联网数据中心，它提供虚拟化的网络、计算、存储的资源词，当然还有很多支撑机房、安防、监管、制冷、空调等等。那么作为云计算很重要的是PaaS层平台之服务，这里面有大数据挖掘的工具软件、人工智能的基础算法软件，提供一个开放环境。同时在数据基础设施里头，我们还准备了一个SaaS层，这里面收集了各种各样的工控软件，可以支撑我们企业的运用。
作为工业互联网还有工业互联网的核心平台，它利用了上层上面的云计算和数据中心的能力，同时它收集了大量的行业应用的各种数据以及行业专用的APP，包括一些软件分析工具，当然对大多数企业，不是工业互联网核心平台提供商，而是工业互联网应用平台。那么它本身也具有各种网络能力以及网络安全与措施，包括企业专用的一些APP和开发工具软件。我们可以看到，新一代信息基础设施基本是整个数字新基建的重要支柱也是新基建的首选。而新一代的信息基础设施融合了IT的新技术，体现了IT创新的成果。从安全看，新一代信息基础设施包括了传统的网络安全、数据安全、信息安全、内容安全和应用安全，新基建推动了IT安全和OT安全的融合，并且扩展到经济安全以及社会安全。
我们从企业的角度来看我工业互联网，底层我们有很多联网的数控机床、数控设备、仪器仪表、总线包括可编程的逻辑控制器、分布控制系统、传感器，收集各种各样的生产过程中的参数，通过工业防火墙连到企业内部的总线，我们进入到工厂阶级，有边缘计算，有各种各样的服务器以及数据监控与采集系统，包括工程计算，服务人等等，这里面进一步收集和汇聚分类数据再送到企业集团这一层，在云计算的支持下，我们工业互联网平台具有各种各样的数据库和服务。
企业除了跟内部以外还需要跟外部发生联系，我们会有企业外网，我们可以看到是基于5G和IPV6的软件定义的广域网。那么企业内部现在比较多的是工业以太网和敏感网络。作为底层车间一级我们物联网会使用传感网的协议，企业跟外部联系，我们右图显示，一个企业总要跟它的分支机构以及互联网数据中心还有云服务，不论云是私有云还是公有云，基本上不一定会在企业总部同一个位置，需要外网加以联系，通过外部的联系可以常规走公众互联网，可以利用网络切片有一定和其他企业的信道有隔离，当然可以通过上运营商专用的物理专线。可以通过软件定义广域网来控制，而且物理专线不会像过去那种固定向运营商用，那就要变化起来就比较麻烦。现在用SDNV（音）软件定义广域网可以实时的变化。
我今天介绍一下5G的网络技术，从底层看，有各类终端，除了移动智能终端，还有各种各样的可穿戴设备，我们包括机器传感器、网连车等等。到了无线接入这部分，5G会使用大规模的天线，超密集组网，同时使用更多的其他的各种各样的技术。从基站到核心网需要利用光纤传输，传统的光纤传输是SDH十分服用（音）的技术。那么现在在5G会扩展到统计服用以及一些光传感网。5G的特点更多表现在转发面上，传统的互联网在第三层依靠路由器实现无连接的转入，今后会继续使用第三层，但是可能会用面上连接的技术包括基于IPV6原路。除了第三层在5G还会扩展到使用第二层的交换支撑一些像话音这样的带宽认为要求高一点的信号。这里面包括基于以太网的实验敏感网络，更进一步因为5G又支持大量的视频，我们更希望降低到第一层半去以太网的交叉连接快速转发大视频的信号。
另外5G的另外一个特点，是网络虚拟化，使用网络切片，这里边包括软件定义网网络功能虚拟化，无定制的小区用户中心网。5G另外一个特点是业务互联网化，传统过去的移动网使用专用协议，而5G要全部使用互联网的协议，5G更强调云化的网络，包括中心云，以及移动边缘计算，以及集中的的无线接入网是云化的。从这里我们看到5G的新型网络技术代表了网络体系的演进方向，云化、虚拟化、开放化对Cyber安全提出了新的挑战。而基于服务网络的体系，它便于调动网络服务，提升业务的生成能力，支持网络切片。而网络切片是能为业务流提供满足服务需要的VPN的通道，SDN软件定义网实现了控制层跟传送层的分离，支持了基于IPV6面向连接的源选路提高了转发效率，保障了低时延。但是这些网络技术是反映了新基建的创新，但从另一个层面对网络安全提出了新的挑战。我们分别来说。
邬贺铨院士：创新驱动新基建 网络安全新挑战

第一个就是虚拟化的挑战

现在大家看到的是一个云数据中心，底层是一个绿色的机房，包括运维管理、供电、制冷、安防等等，重要的是第二层，有一个云平台，这里实现了计算存储网络资源的虚拟化，上层有各种各样的服务，这是云数据中心，在5G会使用网络功能的虚拟化，传统的网络召唤机就是召唤机，路由器也如此，交叉软件也如此。现在通过网络功能虚拟化，我们硬件可以走通用的，利用通用处理器做成通用的硬件，依靠软件的不同定义这个网源的功能，实现了软硬件的结果。
那么这种虚拟化带来的挑战，数据中心和网络以及计算存储资源的虚拟化，5G网络功能的虚拟化，模糊了网络安全的物理边界，虚拟的安全域还会动态变化，传统依赖物理边界防护的安全机制难以奏效。很多安全挑战是内生的，以网络安全硬件外挂的方式很谈进入到内生的安全体系，我们需要增加免疫力，网络安全需要跟信息基础设施同步建设。

第二个挑战是切片化的挑战

5G要支持各种各样的业务，但是物理设施都是公用的，不是为某一个业务单建一个网络，但是它会从逻辑上通过网络资源的调用，专门为支撑网络某一种业务生成网络切片，我们叫专用的VPN信道。比如说对高带宽的信道，对高可靠的信道，对低时延的信道等等，这是切片化。切片化我们基本上是靠SDN的方式支撑。比如说传统的互联网、路由器，既有网络转发功能，也有控制功能，原来是一体的。受到的IP包按照最短路径的优先选出旁边路由器的转发，是走一步看一步，不考虑全网的优化，为了全网的优化和降低时延，我们把控制面抽出来，组成网络操作系统，把业务功能抽出来，依靠对网络业务大数据的分析和网络资源大数据的收集，我们可以为每一个物理业务需求提供一个端到端的路径决定，那么这样我们可以实现高效率、低时延。
那么通过软件定义可以实现调动网源组成网络切片提供VPN的信道。但是我们现在在网络安全的背景下，我们要假定我们底下的网源都是不可信的，也要在基于网源不可信的情况下来设计一个网络架构，实现一个可信网络。另外网络基础的结构将来还需要有不断动态变化的能力，以便使攻击和信息的获取变得更困难。但是这种变化也需要能保证我们自身的通信安全。
网络切片也好SDN也好都需要有集中控制系统，集中控制系统很容易成为网络攻击对象。并且底层网络资源的共享也会挑战不同信道我们希望的业务的隔离。

第三个挑战是开放化的挑战

前面我说了4G的协议是专用的，我们很少听说运营商的网络遭遇安全攻击被搞瘫痪了。在5G使用了通用的互联网协议，好处是能够直接在互联网上面已经有的各种业务运用很好的直接移植到5G上面来，但是同时也为互联网上的病毒打开了方便之门。另外我们可以看到右图，5G的业务生成采用类似我们手机上APP的方式，在网络上的业务以APP的组合支持，这样的好处是提供了业务的可扩展性和灵活性，也便于网络切片的组织。但是带来了安全的风险，首先提供网络业务APP的平台，是开放的，以便这些APP既可以运营商生成，也可以社会上第三方的公司甚至网民生成，像手机上的APP一样开放了平台，丰富了APP的来源，但是也增加了恶意的APP进入的风险。
其次，5G同时网络业务的开放也把这个业务的组织生成的能力赋予了大客户，我们很多客户可以利用5G网络运营商开放的这些能力自定义和调配自组织自己的业务，跟传统的移动网络业务的封闭商比，这种开发会给恶意的第三方来操控这个网络，实现对网络的攻击。另外网络的APP同时面对多个客户的需求，这种业务的组织调度会不会再网络资源有限的情况下产生冲突而不会收敛。

第四个挑战是开源化的挑战

右边土地是大数据分析软件的例子，我们可以看到在超算平台、公有云平台、私有云平台之上，是个开源大数据的软件框架，这里列了一些开源大数据，像storm、hadoop、tensorflow、spark等等，那么这些开源数据都是社会上也可以用的到的，当然此外大数据分析还有一些专用的核心软件。那么我这里目前只是想讨论一下开源大数据。云计算的PaaS软件平台，大数据挖掘的软件框架，网络功能的虚拟化NFV里面的软件还有5G使用深度学习的软件等等，很多都来自开源软件，这样很方便很丰富，但是第三方开源的基础库漏洞比较多，如果从代码助行分析工作量很大。属于我们能开发出机器的编程方法，从软件的意图直接生成代码，反过来这种从代码反推意图，到时候分析网络软件的安全性，不见得代码一行行的分析，可以从软件意图去分析，进行软件的自动测试和协议执行完整性的检查。当然不要说从意图从代码反推意图难，即便从意图机器办法的生成代码仍然有很多难度，对网络安全提出了新的挑战。

第五个挑战是大连接的挑战

5G在物联网从窄带物联网扩展到宽带IOT以及MOT大连接，我们这个表可以看到，传统的2G、3G、4G，我们是窄带物联网，那么到5G我们是宽带的IOT数据率可以做多100Mbps，原来的NBLOT只有20还是250Mbps。另外5G也支持大连接，它的连接数可以说一平方公里100万个传感器联网，所以说我们5G面对的一个大连接的环境，我们可以看到。工业互联网是需要大连接的，而且工业互联网大量的传感器永远在线，因为功耗的限制，这些传感器很强安全的防御能力，很容易成为木马入侵，成为DDOS的跳板。
5G面对的设备种类很多，传统的我们手机终端是以USIM卡为基础的单一身份管理方式，而5G很多传感器不屑于用信用卡这种方式来作为身份标志的，所以也需要设计多种多样的身份管理方式。
对海量的IOT连接我们一个一个来认证的话，一百万个要印证到什么时间？所以我们要用群体的认证、分组的认证，这里面要分组要有分几级会增加时延，一百万个进行认证会产生心灵风暴。另外有一些认证对时间不敏感，但是在5G的运用车联网、车到车、工业互联网很多传感器上网认证是要求既要快又要好。
另外通常的物联网终端我们为了节省功耗，即便要使用加密密钥的话也要尽量简单，但是简单并不意味着降低安全的要求，有一些敏感的应用又要高可靠又要低时延，密钥又不能太复杂，又要有足够的安全强度，这是一个很严峻的挑战。

第六个是智能化的挑战

我们这里大家看见这个图，左边是一个熊猫，在熊猫照片上加入一些干扰，那么右边的图当然还是熊猫，可是会被人工智能错认为是个长臂猿。因为神经网络导入的数据只要有一个很小的改动分类会产生很大的变化，加拿大的多伦多大学曾经做过一个实验，本来人脸识别的准确率能到接近百分之百，加了一点干扰识别准确率只能变成0.5%。所以我们说新一代信息基础设施将大量用AI技术的，当然现在深度学习目前的水平只是把一个曲线离合到成为数据，另外依据数据的微小差别实现分类。这里面需要依赖大量正确标注过的数据，而且不确定性的一些概率会影响我们模型的准确性，所以人工智能目前在因果关系上无能为力。我们基本上人工智能目前是知其所以然，不知其所以然。所以人工智能目前的水平是大数据大算力小任务，做一点比较简单单一的业务，但是花大了大量的数据和很大的计算能力。
未来我们希望什么呢？小数据、小算力、大任务，这还有很长的距离。人工智能不但我们会用，攻击者也会利用人工智能的技术来发现网络基础设施的漏洞。像一些高级威胁攻击，会随着人工智能的发展会越来越多的出现。

第七个挑战是私密性的挑战

我们传统基于外购的防火墙、防病毒和入侵检测的网络安全措施，很简单，而且也不需要对被保护系统有过多的了解，不涉及被保护系统内部的数据。但是物理边界防御方式和页面网络算力设施的虚拟化很难发挥作用。
以提升免疫能力为主的内生防御方式，甚至用零信任的方式会成为发展趋势。也就是说我对所有的设备都信不过，希望用内生安全的免疫来解决它。就像我们虽然戴了口罩，可以在外面防御病毒的入侵，当然更重要是提升自身的免疫力。不过内生的防御方式也并不是没有挑战的，因为它要了解内部的系统的被保护系统的状况，是要跟踪系统的数据，而且所谓内生并不意味着跟外部的网络安全没有发生关系，仍然需要跟外部网络安全威胁情报共享，所以被保护系统会认为内生安全防御存在数据外泄风险。
所以将来我们需要考虑数据用后即焚，也就是说在网络安全紧急状态下，我们首先要考虑保护生产设施，所以一个稍微企业的心理性放在第二位，但是在这个网络安全事件处理完了以后，那么从获得的网络被保护单位的一些内部数据，必须不再保留。这就像我们在疫情期间，我们健康码实际上获取了每个人很多的隐私，包括你14天内的行程，这是为了生命安全我们把个人的隐私做了一个样度，但是在疫情过后我们不能够再保留通过健康码所收集很多用户的数据。
怎么实现既要让数据共享利用，又保障数据不泄密？现在有人提出联邦数据的机制，原始数据不离开原来存储的地方，同时原始数据只被使用，而不被存储，不被修改，可以利用，而不会影响，可以支撑数据共享，又不会影响到数据泄密。
在这个月初在上海召开的世界人工智能大会上，清华的姚期智院士提出MPC的密码计算概念，数据可以加密，加密的数据进行计算，多个数据库可以联合计算一个函数，不会偷漏盒子的数据和知识产权，所以在私密性方面是一个很大的挑战。

第八个挑战是应用泛在化的挑战

我们5G也好工业互联网也好，会在很多领域应用。举个例子，数字建模、协同设计、智能制造、机器视觉的质量检测、数字孪生以及供应链的管理市场的管理、智能交通、智慧安防等等。新一代的信息基础设施面向工业互联网和智慧城市的应用，深入渗透到各行各业，成为传统基础设施运行的关键支撑。一旦发生Cyber社会安全的实践危害不堪设想。比如说我们国家的电网、高铁、民航都深度依赖于信息手段。影响到国家经济安全、进程安全、精神安全、国防安全等等的方面，对民生有很大影响。

第九个挑战是生态化的挑战

我们要建设网络安全生态，它覆盖技术、业务、流程、管理、团队方方面面，网络安全需要跟生产装备的原厂商，网络安全企业、电信运营商、政府等多方面紧密合作，实现网络安全威胁情报的共享。
网络安全需要有法律法规的保障，网络安全呼唤人才的培养，网络安全也需要国际的合作，但基础是需要建立我国网络安全技术，产品和服务的完整体系。
总之，新基建对网络安全提出了新挑战，这也是推动网络安全发展的新动力，网络安全将因为新基建上一个新台阶，让我们共同努力把网络安全做的更好。


原文来源：信息安全与通信保密杂志社

邬贺铨院士：创新驱动新基建 网络安全新挑战

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2020年9月2日14:41:26
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   邬贺铨院士：创新驱动新基建 网络安全新挑战http://cn-sec.com/archives/115329.html

发表评论

匿名网友 填写信息