智庫(kù)建言德國(guó)網(wǎng)絡(luò)安全研究戰(zhàn)略

數(shù)字世界和現(xiàn)實(shí)世界日益融合，網(wǎng)絡(luò)安全挑戰(zhàn)越發(fā)嚴(yán)峻。有效保護(hù)網(wǎng)絡(luò)安全是確保經(jīng)濟(jì)成功的重要條件，也是至關(guān)重要的國(guó)家安全和公民主權(quán)問(wèn)題。近期，德國(guó)弗勞恩霍夫協(xié)會(huì)向德國(guó)聯(lián)邦教研部部長(zhǎng)和聯(lián)邦內(nèi)政部部長(zhǎng)遞交了《“網(wǎng)絡(luò)安全2020”戰(zhàn)略及意見書》報(bào)告。

一、信息安全應(yīng)用研究——以未來(lái)項(xiàng)目“工業(yè)4.0”為例

信息通信技術(shù)滲透至生活和工作的每個(gè)領(lǐng)域。數(shù)字世界和現(xiàn)實(shí)世界的界限日益模糊，同時(shí)網(wǎng)絡(luò)犯罪和網(wǎng)絡(luò)間諜越來(lái)越專業(yè)化，傳統(tǒng)的預(yù)防方式已不足以應(yīng)對(duì)新情況，網(wǎng)絡(luò)安全挑戰(zhàn)越發(fā)嚴(yán)峻。特別是斯諾登事件爆發(fā)后，網(wǎng)絡(luò)安全問(wèn)題引起全球關(guān)注。

能否擁有可靠、安全的信息通信技術(shù)對(duì)德國(guó)經(jīng)濟(jì)至關(guān)重要。德國(guó)高技術(shù)戰(zhàn)略的未來(lái)項(xiàng)目“工業(yè)4.0”（即“第四次工業(yè)革命”項(xiàng)目）具有典型意義。在“工業(yè)4.0”中，以往的界限都將消失，生產(chǎn)性信息技術(shù)、銷售物流、零部件產(chǎn)業(yè)、商業(yè)信息技術(shù)等領(lǐng)域都將聯(lián)系到一起。因此，信息技術(shù)系統(tǒng)將遇到許多新的挑戰(zhàn)，病毒將可能攻擊生產(chǎn)設(shè)備，不夠安全的機(jī)器有可能被遠(yuǎn)程操控，給現(xiàn)實(shí)世界帶來(lái)巨大損失。

在“工業(yè)4.0”中，設(shè)備和產(chǎn)品都將納入智能的物聯(lián)網(wǎng)中。這一網(wǎng)絡(luò)范圍越大、越具活力，就越有必要使每個(gè)系統(tǒng)（從每個(gè)組件到每個(gè)產(chǎn)品）都相互區(qū)別，明確確定其信息，并保證安全的相互交流。隨著網(wǎng)絡(luò)成為最重要的交流媒介，云計(jì)算成為中央系統(tǒng)，服務(wù)和人都需要更加安全可靠的身份證明。不僅必須保證交流的安全可靠，而且要在網(wǎng)絡(luò)攻擊情況下保持系統(tǒng)的長(zhǎng)效安全可靠。對(duì)于德國(guó)高科技工業(yè)，特別是機(jī)械設(shè)備制造業(yè)的中小企業(yè)，采取有力措施應(yīng)對(duì)經(jīng)濟(jì)間諜行為對(duì)它們的存亡至關(guān)重要。面對(duì)非法攻擊，云端數(shù)據(jù)也應(yīng)得到強(qiáng)有力的安全保障。

“工業(yè)4.0”中的所有要素，包括人、機(jī)器、生產(chǎn)設(shè)備、應(yīng)用程序、產(chǎn)品和服務(wù)都會(huì)不斷產(chǎn)生數(shù)據(jù)。只有保證數(shù)據(jù)的實(shí)時(shí)整合和高效分析才能優(yōu)化資源和生產(chǎn)鏈。大數(shù)據(jù)給企業(yè)信息保護(hù)和個(gè)人隱私保護(hù)帶來(lái)了無(wú)法回避的問(wèn)題，同時(shí)也帶來(lái)了機(jī)遇。

“工業(yè)4.0”中的工人是靈活的、全球性的和自主的，信息通信技術(shù)對(duì)于工人也應(yīng)該靈活多樣、更易于使用。這一要求給科研帶來(lái)了挑戰(zhàn)，包括移動(dòng)網(wǎng)絡(luò)的通信安全和更加安全的運(yùn)營(yíng)方案，例如在生產(chǎn)、維護(hù)、運(yùn)營(yíng)、物流等領(lǐng)域，移動(dòng)終端設(shè)備如何在移動(dòng)商務(wù)過(guò)程中實(shí)現(xiàn)更加安全可靠的融合。

二、“網(wǎng)絡(luò)安全2020”研究議程

德國(guó)弗勞恩霍夫協(xié)會(huì)是歐洲最大的應(yīng)用研究機(jī)構(gòu)，在德國(guó)乃至歐洲信息安全研究中占據(jù)重要地位。它對(duì)德國(guó)國(guó)家網(wǎng)絡(luò)安全研究議程“網(wǎng)絡(luò)安全2020”提出了7項(xiàng)建議：

1.捍衛(wèi)數(shù)字主權(quán)。

在信息安全這一核心領(lǐng)域，德國(guó)必須絕對(duì)獨(dú)立，必須找出靈活的、第三方檢測(cè)的安全解決方案，作為以信息通信技術(shù)為基礎(chǔ)的基礎(chǔ)設(shè)施的信任基石。不僅在信息通信技術(shù)這一關(guān)鍵領(lǐng)域，也要在跨領(lǐng)域的重大未來(lái)項(xiàng)目（如“工業(yè)4.0”和“互聯(lián)網(wǎng)經(jīng)濟(jì)”）的服務(wù)中保證德國(guó)信息技術(shù)的獨(dú)立。

2.信息安全應(yīng)用研究。

信息安全研究必須保證實(shí)用性。要建立和運(yùn)行同企業(yè)保持緊密合作的應(yīng)用實(shí)驗(yàn)室，針對(duì)網(wǎng)絡(luò)犯罪和網(wǎng)絡(luò)間諜行為的系統(tǒng)解決方案的可行性進(jìn)行實(shí)際研究和驗(yàn)證。

3.通過(guò)設(shè)計(jì)保護(hù)安全。

要保證產(chǎn)品、服務(wù)和解決方案在全生命周期的安全性。也就是從最開始就要考慮到安全問(wèn)題，要促進(jìn)各個(gè)組成系統(tǒng)的融合并明顯提高安全性。

4.可由第三方檢測(cè)。

為獲得可信賴的安全，要支持研發(fā)新的技術(shù)方法，對(duì)組件、產(chǎn)品、服務(wù)和解決方案在全生命周期的安全性進(jìn)行檢查，并使已達(dá)到的安全性具有可證性。

5.通過(guò)設(shè)計(jì)保護(hù)隱私。

要同時(shí)保護(hù)經(jīng)濟(jì)、國(guó)家和個(gè)人隱私，應(yīng)對(duì)網(wǎng)絡(luò)犯罪和網(wǎng)絡(luò)間諜行為，特別要考慮個(gè)人信息保護(hù)的重要意義，如客戶信息對(duì)于經(jīng)濟(jì)發(fā)展的重要意義。必須通過(guò)適當(dāng)辦法，按照“通過(guò)設(shè)計(jì)保護(hù)隱私”原則預(yù)防非法網(wǎng)絡(luò)入侵和信息濫用。

6.了解自身安全情況。

要高效及時(shí)地繪制自身安全形勢(shì)圖，使決策者能夠就安全情況作出可靠評(píng)估，并為負(fù)責(zé)任、可持續(xù)的行為創(chuàng)造前提。

7.人性化的信息安全。

信息安全機(jī)制及方法應(yīng)該人性化，應(yīng)該具有良好的可用性，使研發(fā)人員、信息安全專家和普通人都能完成與安全相關(guān)的任務(wù)。

三、德國(guó)網(wǎng)絡(luò)安全研究的機(jī)遇和需求

1.德國(guó)信息安全研究概況。

德國(guó)高校和研究機(jī)構(gòu)對(duì)信息安全研究作出了杰出貢獻(xiàn)，德國(guó)企業(yè)開展信息安全工作以滿足顧客需求。國(guó)家自身支持信息安全研究，其重點(diǎn)是不安全環(huán)境中的安全研究、網(wǎng)絡(luò)基礎(chǔ)設(shè)施保護(hù)、嵌入式安全等。自2011年起，有3個(gè)信息安全能力研究中心先后成立。但是，德國(guó)明顯缺乏更加貼近實(shí)際的信息安全應(yīng)用研究，科研發(fā)展也沒有持續(xù)跟上實(shí)際發(fā)展需求的腳步。在信息安全研究中，新興應(yīng)用領(lǐng)域不斷產(chǎn)生，能源供應(yīng)、交通、隱私保護(hù)等新興應(yīng)用領(lǐng)域引起社會(huì)廣泛關(guān)注。在這些新興應(yīng)用領(lǐng)域，對(duì)信息安全仍甚少涉及，甚至在自動(dòng)化、移動(dòng)系統(tǒng)和云計(jì)算領(lǐng)域也缺少貼近實(shí)際的解決方案。

2.德國(guó)信息安全研究需求——加強(qiáng)應(yīng)用研究。

“信息安全，德國(guó)制造”將為德國(guó)科研和經(jīng)濟(jì)帶來(lái)巨大機(jī)遇。德國(guó)迫切需要使基礎(chǔ)研究成果應(yīng)用于實(shí)踐，這具有四項(xiàng)重要意義。一是將基礎(chǔ)研究成果轉(zhuǎn)化成市場(chǎng)歡迎的產(chǎn)品。這樣新興應(yīng)用領(lǐng)域才能從這些貼近實(shí)際并經(jīng)過(guò)檢驗(yàn)的解決方案中直接受益，這樣信息安全將不再是障礙，而會(huì)在國(guó)際市場(chǎng)上為德國(guó)企業(yè)增彩。二是保護(hù)經(jīng)濟(jì)和公民。沒有哪個(gè)生活領(lǐng)域可以脫離信息技術(shù)，許多新興應(yīng)用領(lǐng)域與信息技術(shù)密切相關(guān)，重要的基礎(chǔ)設(shè)施、相互依賴的經(jīng)濟(jì)系統(tǒng)都必須通過(guò)安全可靠的信息安全系統(tǒng)來(lái)保護(hù)。三是降低損失。如果企業(yè)對(duì)信息技術(shù)基礎(chǔ)設(shè)施保護(hù)不力，遭到網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)就很大，這不僅會(huì)帶來(lái)直接經(jīng)濟(jì)損失，還會(huì)導(dǎo)致難以估量的名譽(yù)損失。四是提升國(guó)際競(jìng)爭(zhēng)力。德國(guó)在信息安全基礎(chǔ)研究方面享有很高聲望，在信息安全、自動(dòng)化、數(shù)據(jù)保護(hù)、能源供應(yīng)等領(lǐng)域處于領(lǐng)先地位。鑒于國(guó)際信息技術(shù)和安全市場(chǎng)不斷發(fā)展，未來(lái)競(jìng)爭(zhēng)越發(fā)激烈，有必要不斷促進(jìn)應(yīng)用研究，為在國(guó)際市場(chǎng)保持領(lǐng)先地位創(chuàng)造必要條件，并在尚未完全發(fā)展起來(lái)的領(lǐng)域中搶占先機(jī)。

四、研發(fā)需求

為保持德國(guó)的技術(shù)主權(quán)和獨(dú)立，保持德國(guó)的創(chuàng)新地位，弗勞恩霍夫協(xié)會(huì)建議特別關(guān)注以下研究主題。

1.云安全。

云計(jì)算是信息技術(shù)資源的下一次革命，硬件和軟件向云端轉(zhuǎn)移將成為新的信息技術(shù)范式。借助云計(jì)算，企業(yè)能夠大幅降低成本。由于許多潛在用戶對(duì)云安全有所顧慮，導(dǎo)致拒絕使用云技術(shù)，云安全研究勢(shì)在必行。其研究重點(diǎn)應(yīng)包括安全規(guī)則建模、用于安全規(guī)則建模和可信評(píng)測(cè)的衡量標(biāo)準(zhǔn)、云端環(huán)境的認(rèn)證信息管理、云計(jì)算中心威脅評(píng)估模型、安全虛擬環(huán)境機(jī)制、隱私保護(hù)技術(shù)、信任與策略管理、固定設(shè)備和移動(dòng)設(shè)備通過(guò)云設(shè)施的安全同步、高度敏感信息的云利用模式和方法、云端惡意軟件的識(shí)別和處理、云服務(wù)供應(yīng)商審核控制機(jī)制等。

2.信息物理融合系統(tǒng)（CPS）。

信息物理融合系統(tǒng)是嵌入式系統(tǒng)，借助傳感器或制動(dòng)器來(lái)評(píng)估和儲(chǔ)存信息，通過(guò)網(wǎng)絡(luò)連接和人機(jī)接口實(shí)現(xiàn)交流。信息物理融合系統(tǒng)用于數(shù)據(jù)和信號(hào)加工，已廣泛應(yīng)用于航空航天、汽車制造、化工、能源、醫(yī)療衛(wèi)生、生產(chǎn)及自動(dòng)化、物流、終端服務(wù)等領(lǐng)域。隨著其性能的增強(qiáng)和聯(lián)網(wǎng)程度的提高，迫切需要新的技術(shù)和方法滿足它在安全和保護(hù)上的需求。其研究重點(diǎn)包括網(wǎng)絡(luò)化智能交互技術(shù)的安全、特殊密碼程序和安全技術(shù)、軟硬件結(jié)合的安全機(jī)制、受到攻擊時(shí)的緊急應(yīng)對(duì)、安全等級(jí)標(biāo)準(zhǔn)檢測(cè)方法、分布式智能傳感機(jī)制等諸多問(wèn)題。

3.數(shù)據(jù)保護(hù)和隱私管理。

個(gè)人信息非法交易問(wèn)題日益凸顯，許多大公司，如銀行和通訊公司，都遭遇到了這樣的問(wèn)題，這不僅損害公司形象，而且導(dǎo)致經(jīng)濟(jì)損失。個(gè)人信息保護(hù)已成為科研與社會(huì)的核心話題。

4.能源生產(chǎn)和供應(yīng)。

能源互聯(lián)網(wǎng)是極其重要的基礎(chǔ)設(shè)施，智能電網(wǎng)的發(fā)展要求必須注意新的風(fēng)險(xiǎn)。從電力生產(chǎn)者、儲(chǔ)存者、電網(wǎng)到終端用戶的相互聯(lián)系，再到管控，智能電網(wǎng)意味著各環(huán)節(jié)之間存在更多的交流，也會(huì)產(chǎn)生更多的未知風(fēng)險(xiǎn)。該領(lǐng)域的研究重點(diǎn)是實(shí)現(xiàn)智能電網(wǎng)的建立和保證智能電網(wǎng)的安全。

5.預(yù)警系統(tǒng)。

隨著網(wǎng)絡(luò)的發(fā)展，各種惡意軟件不斷出現(xiàn)，信息系統(tǒng)運(yùn)營(yíng)者已很難及時(shí)告知新的威脅并予以保護(hù)。使用信息預(yù)警系統(tǒng)及早應(yīng)對(duì)網(wǎng)絡(luò)意外情況至關(guān)重要，在這方面還有很多問(wèn)題有待解決，例如新興應(yīng)用領(lǐng)域預(yù)警系統(tǒng)、僵尸網(wǎng)絡(luò)問(wèn)題。

6.工業(yè)生產(chǎn)和自動(dòng)化。

工業(yè)自動(dòng)化技術(shù)是工業(yè)化國(guó)民經(jīng)濟(jì)良好運(yùn)行的支柱，信息安全是信息技術(shù)融入生產(chǎn)設(shè)備的基石。

7.信息技術(shù)取證。

網(wǎng)絡(luò)作案者會(huì)留下痕跡。信息技術(shù)取證的任務(wù)就是發(fā)現(xiàn)、確定并分析這些痕跡。主要研究任務(wù)包括：研發(fā)可針對(duì)各種媒體類型自動(dòng)高效識(shí)別禁止內(nèi)容的程序以及在刪除信息后從信息碎片中識(shí)別禁止內(nèi)容的程序；對(duì)大數(shù)據(jù)快速分類以及在大數(shù)據(jù)中快速自動(dòng)檢索圖片和視頻內(nèi)容的辦法。

8.交通信息技術(shù)安全。

越來(lái)越多的汽車功能通過(guò)軟件實(shí)現(xiàn)。汽車聯(lián)網(wǎng)并且車聯(lián)網(wǎng)將逐漸對(duì)外開放，既會(huì)給汽車制造商、供應(yīng)商和服務(wù)商帶來(lái)許多安全問(wèn)題，又帶來(lái)了新市場(chǎng)和新機(jī)遇。

9.媒體安全。

數(shù)字化媒體涉及影片、音樂(lè)、有聲讀物和電子書，重點(diǎn)要進(jìn)行版權(quán)保護(hù)和防操縱保護(hù)。

10.網(wǎng)絡(luò)安全。

網(wǎng)絡(luò)與日常生活密不可分，人們?nèi)找嬷匾暰W(wǎng)絡(luò)安全問(wèn)題。保證交流基礎(chǔ)設(shè)施的安全意味著保護(hù)網(wǎng)絡(luò)基礎(chǔ)設(shè)施技術(shù)，保護(hù)通訊服務(wù)的連通性、延伸性和可用性，研發(fā)可對(duì)攻擊和安全漏洞進(jìn)行識(shí)別和分類的支持方法。

11.預(yù)防盜版。

對(duì)產(chǎn)品、設(shè)備和設(shè)計(jì)的盜版不僅會(huì)給企業(yè)帶來(lái)巨大的損失，也會(huì)給消費(fèi)者帶來(lái)安全和質(zhì)量隱患，在機(jī)械制造和電子技術(shù)方面尤其如此。因此急需考慮整個(gè)產(chǎn)品研發(fā)和產(chǎn)品生命周期內(nèi)預(yù)防盜版的方法和工具。

12.物理嵌入式網(wǎng)絡(luò)安全。

物理嵌入式網(wǎng)絡(luò)安全是把物理世界和信息世界聯(lián)系起來(lái)保護(hù)兩者安全。它意味著免受非法攻擊，也意味著面對(duì)意外和系統(tǒng)違規(guī)操作時(shí)提供安全保護(hù)。其研究重點(diǎn)在于信息世界和物理世界以及兩者間節(jié)點(diǎn)的安全保護(hù)、信息世界和物理世界相互聯(lián)系的建立與協(xié)調(diào)。

13.安全工程學(xué)。

許多信息技術(shù)產(chǎn)品存在安全缺陷。從產(chǎn)品的設(shè)計(jì)和研發(fā)階段就開始考慮安全問(wèn)題并將它延展至產(chǎn)品的整個(gè)生命周期，對(duì)于企業(yè)具有戰(zhàn)略性意義。

14.安全的移動(dòng)系統(tǒng)。

智能手機(jī)、平板電腦等移動(dòng)設(shè)備越來(lái)越受歡迎，逐漸成為網(wǎng)絡(luò)攻擊目標(biāo)。如果沒有特定的保護(hù)措施，移動(dòng)設(shè)備更容易受到攻擊，并且其影響范圍遠(yuǎn)大于固定設(shè)備。

15.預(yù)防旁路攻擊和故障攻擊。

隨著越來(lái)越多的事物網(wǎng)絡(luò)化，旁路攻擊明顯增加。采取保護(hù)措施保證長(zhǎng)期的密碼信息安全十分必要，這樣也可以有效處理潛在攻擊。

16.安全管理。

在信息技術(shù)應(yīng)用領(lǐng)域，信息安全管理面臨巨大挑戰(zhàn)。在云環(huán)境、生產(chǎn)基礎(chǔ)設(shè)施以及由信息系統(tǒng)控制的重要基礎(chǔ)實(shí)施中急需一體化的安全管理解決方案。研究需求主要包括新興應(yīng)用領(lǐng)域和新興技術(shù)領(lǐng)域的風(fēng)險(xiǎn)管理方法、一體化信息安全管理系統(tǒng)、跨組織安全管理辦法研究等。

17.可信系統(tǒng)。

現(xiàn)代計(jì)算系統(tǒng)軟件越復(fù)雜，安全漏洞的風(fēng)險(xiǎn)越大，傳統(tǒng)的病毒掃描和防火墻已經(jīng)無(wú)法滿足安全需求。要重點(diǎn)研究可信系統(tǒng)的虛擬化構(gòu)建方法、硬件安全模塊的運(yùn)用、可信計(jì)算工作組（TCG）方案在嵌入式系統(tǒng)中的運(yùn)用以及在新興應(yīng)用領(lǐng)域的拓展。

（作者：饒曄，北京外國(guó)語(yǔ)大學(xué)，德語(yǔ)系2012級(jí)碩士研究生；劉潤(rùn)生，中國(guó)科學(xué)技術(shù)信息研究所助理研究員，科技參考研究室負(fù)責(zé)人，主要從事科技戰(zhàn)略與政策研究；張麗娟，中國(guó)科學(xué)技術(shù)信息研究所研究實(shí)習(xí)員，主要研究方向?yàn)榭萍颊吲c管理。）