201205A.indd

Transcription

1 信息安全与通信保密 2012年5月 第 5期 与通信保密 R 政府的 代言人 行业的 发言人 产业的 经纪人 学术的 带头人 Information Security and Communications Privacy May.2012 二 一 O 二年五月 第五期 总 ( 二二一期 ) 工业和信息化部精品期刊 中国信息产业影响力显著媒体 1979年创刊 Information Security and Communications Privacy 出版单位 信息安全与通信保密 杂志社 邮发代号 国外发行代号 M1618 定价 15元/册 总221期

2

3 信息安全与通信保密 月刊 1979 年创刊 2012 年 5 月第 5 期 ( 总 221 期 ) 2012 年 5 月 10 日出版 主 管 中华人民共和国工业和信息化部 主 办 中国电子科技集团公司第三十研究所 协 办 中国信息安全测评中心 国家保密科学技术研究所 中国计算机学会信息保密专业委员会 中国信息安全认证中心 国家网络信息安全技术研究所 保密通信重点实验室 合作单位 北京启明星辰信息安全技术有限公司 本期导读 全年支持 卫士通信息产业股份有限公司 西安交大捷普网络科技有限公司 成都三零盛安信息系统有限公司 P9 本期特稿 华御信息技术有限公司 成都三零瑞通移动通信有限公司 陈克非 综合考量成为现有密码主要挑战 本期记者采访到了上海交通大学计算机科 学与工程系博士生导师陈克非教授 他就 出 版 信息安全与通信保密 杂志社 顾 问 ( 以姓氏笔划为序 ) 方滨兴 冯记春 吕诚昭 华平澜 李乐民 李润森 李德毅 肖国镇 何德全 沈昌祥 陈 新旧密码安全需求 密码与新兴产业的融 静 陈小筑 周仲义 卿斯汉 诸鸿文 龚奇敏 童志鹏 合 以及密码环境对人才培养的影响等谈 编委会主任 了自己的观点 社长 主编 黄月江 常务副社长 王文胜 编委会委员 ( 以姓氏笔划为序 ) 丁世平 冯登国 安振华 曲成义 刘容平 杜 虹 P23 本期特稿 杜跃进 李成刚 李建华 杨义先 杨 语时代 来袭 张晓东 张 楚 张 磊 陈秋元 陈晓桦 罗天文 祝世雄 战晓苏 未 来 每 一 部 手 机 甚 至 玩 具 都 将 能 听 会 赵战生 贺卫东 卿 昱 耿振民 郭宝安 隆永红 游小明 覃中平 说 未来 智能语音交互技术将深刻改 新 严望佳 吴世忠 雷吉成 副主编 卿 昱 变人们的生活 语时代 正在袭来 中 副社长 穆 瑛 国也在以自己的方式实现着 中国的语音 北京联络处主任 杨 帆 技术要由中国人自己来做 的目标 林 杨 社长助理 胡晓荷 主编助理 白 洁 流程助理 陈 熳 P28 本期特稿 安全芯片 做强产业链才有底气 安全芯片 这信息安全产业内一个充满生 机和挑战的传奇领域 不仅让国人自主研 发的密码算法大放异彩 也被视为即将迎 来 5 年的高速发展期 这个领域 曾经引 无数国内信息安全企业竞折腰 但现如今 也让很多领域内的安全人士充满着挫败和 无奈感 采编部电话 (010) / (028) 采编部传真 (010) / (028) 投稿邮箱 cismag@vip.sina.com 市场部电话 (010) / (028) 发行部电话 (010) / (028) 咨询 查询专线 联络处 北京市海淀区复兴路甲 36 号百朗园 A1 段 308 室 (100039) 印 刷 四川省印刷制版中心有限公司 出版日期 每月 10 日 国内定价 人民币 15 元 / 每期 港台定价 30 美元 / 每期 ( 含邮资 ) 国外定价 48 美元 / 每期 ( 含邮资 ) 国际标准刊号 ISSN 国内统一刊号 CN /TN 邮发代号 发 行 四川省报刊发行局 广告经营许可证号 发行范围 国内外公开发行 国内订阅 全国各地邮局 国外总发行 中国国际图书贸易总公司 国外发行代号 M1618 社 址 四川省成都市高新区创业路 8 号 (610041) 网 址 银行汇款户名 四川信息安全与通信保密杂志社 开户行 四川成都交通银行高新支行 账 号 邮局汇款地址 四川省成都市高新区创业路 8 号 (610041)

4 Contents 信息安全与通信保密 Xinxi Anquan Yu Tongxin Baomi 月刊 1979 年创刊 2012 年 5 月第 5 期 ( 总 221 期 ) 有关版权转让说明 为适应我国信息化建设 扩大本刊及 作者知识信息交流渠道 本刊已被 CNKI 中 国期刊全文数据库 中文科技期刊数据库 ( 全文版 ) 收录 凡向本刊所投稿件 全体 作者 ( 或录用时 ) 均视同承诺与本社签署 论 文著作权转让书 ( 或论文版权转让合同 ) 将该论文的复制权 发行权 信息网络传播 权 翻译权 汇编权等权利在全世界范围内 转让给本刊 凡被本刊录用的稿件将同时通 过因特网进行网络出版或提供信息服务 稿 件一经刊用 将一次性支付作者著作权使用 权使用报酬 ( 即包括印刷版 光盘版和网络 版各种使用方式的报酬 ) 如作者不同意文章被收录 请在来稿时 向本刊申明 本刊将作适当处理 本刊已正式启用科技期刊不端文献检 测系统 请作者务必保证文章内容的原创性 同时也请作者做好保密审查工作 本刊所有文字文责自负 文字和图片 未经本刊书面许可 不得转载 摘编 违者必究 Information Security and Communications Privacy No.5(Total SN221)May 2012 Focus In This Issue 1 Calling the Chinese Auspicious Cloud By MU Ying Government Voice 2 MPS Concentratedly Striking at the Crime in any Infringement upon the Personal Information of Citizens Working Conference on Security Protection and Inspection of Communication Network Held 3 State Standard on Personal Information Protection Formulated Industry Events Conferences Reported in Advance 6 China Issues First Batch of Qualification Credentials on Integrated Security Service of Information System 7 Westone Displaying the Strength of State Team Exchanging Cloud Security Framework in Hunan Province 8 National Domain-name Security Alliance Founded Features 9 CHEN Ke-fei: Comprehensive Consideration Becomes Principal Challenge to Existing Cryptologies By ZHOU Xue 12 High in the Cloud the Security Enterprises Talks on Cloud Computing (Continued) By BAI Jie 22 Cryptology and Crypto Application in Enterprises'Eyes: Particularly Urgent for the Research of Post-Quantum Crypto Public Key Algorithm An Interview with Vice General Engineer YU Qin-yong of Chengdu Westone Information Co., Ltd. By JIN Jin 23 Speech Times Making Surprise Hit By HU Xiao-he 26 Terminal Security, Intranet Security, Data Security: Which Is the Principal Aspect in Future? By JIN Wei-rui 28 Security Chip: The Strengthening of Industrial Chain Would Bring about Good Lungs By JI Yu 31 Saving Privacy, Never Be Transparent Personal the First State Standard on Personal Information Protection Formulated By WANG He-ming Industry Analysis 33 Smartphone: Both Performance and Security Are Indispensible By JUN Jun 36 Ultrabook Could Hardly Escape the Magic Incantation of on-line Version By BEI Ming 37 Analysis Report on News Propagation of 2011 Virus-killing Software Trade By FANG Kun 39 How Strong Is 22nm? A Comprehensive Evaluation & Test on Intel Ivy Bridge By YAN Wei-chuan Market Profile 45 Ivy Bridge: Acting with a Hidden Motive By Yanrodman 46 Nationz Technoloties will Develop New Generation of Trusted Computing Solution 47 Check Pint Forecasting 2012 s Nine Security Trends 48 Discussion on Common Test Techniques in WAF Market By LV Ming Solutions & Applications 49 Network Solution for Comprehensive Security Experts' Forum 51 Security of Internet Banking based on Cost/Efficiency Analysis By BAN Xiao-fnag TONG Xin 55 Innovation Practice of CPK Technology By ZHAO Jian-guo Communications Technologies 58 Image Contour Extraction Algorithm based on Color and Line Segment Detection By XIA Yang GUAN Hai-bing HUAN Fei 61 Research on Underwater Acoustic Channel Adaptive Equalization Algorithm By WU Yue LI Jun ZHAI Jun-wei Academic Research 63 Study on Security Technology of Cloud Computing Virtualization By YI Tao 66 Research and Implementation of Risk Assessment for Commercial Bank Information Technology By MAO Nan YAO Pei-nian CAO Yu-lei et, al. 69 Analysis on SSL-Webmail Monitoring based on Man-in-the-Middle Technology By OUYANG Jiang LI Qing LIU Jia-yong 72 Study on State-based Remote Detection Technology for SQL Injection Vulnerability By LI Chang-shun HU Yong 75 Firewall Policy Conflict Detection and Conflict Rules Visualization By SUN Li-qin PAN Li 78 A Role Mapping Mechanism for RBAC-Based Multi-Domains By ZHOU Xin PAN Li 81 Boolean Functions Constructed by Concatenate Construction Method By DONG Xin-feng SONG Yun-fen ZHANG Wen-zheng 84 Research on the Technology of Cloud Infrastructure By ZHANG Zhi-ming WANG Qiang 87 Study and Analysis Signatures of Advanced Persistent Threat By HUANG Da-li XUE Zhi 90 An Improved Image Secret Sharing Scheme By WANG Xiao-long CHEN Ya-jun 94 A Research of Video Encryption Technology Based on H.264/SVC By LI Min GUO Jie Brief News In This Issue 36 Magazine Information Security&Communications Privacy Starts Using Detection System for Improper Academic literature in Scientific and Technical Journals 38 HID Global Held Entrance-guard Technical Exchange Conference 50 Contributions Wanted for 2012 CACR Annual Conference nd 54 Contributions Wanted for the 22 China Infosec Conference 57 Corrections 74 Communications Technology Soliciting Contributions

5 目 次 本刊为 中国知识资源总库 科技精品期刊库 遴选 信息安全与通信保密 Xinxi Anquan Yu Tongxin Baomi 月刊 1979 年创刊 2012 年 5 月第 5 期 ( 总 221 期 ) 本刊第四届理事会 ( 排名不分先后 ) 副理事长单位 国家信息技术安全研究中心 中国电子科技集团公司第三十研究所 本期视点 1 呼唤 中国祥云 穆 瑛 政府之声 2 公安部集中打击侵害公民个人信息犯罪 国民技术股份有限公司 年通信网络安全防护检查工作会议召开 卫士通信息产业股份有限公司 3 个人信息保护国家标准编制完成 华御信息技术有限公司 常务理事单位 英特尔 ( 中国 ) 有限公司 保密通信重点实验室 业界动态 会议抢先报 北方信息技术研究所 6 我国颁发首批信息系统安全集成服务资质认证证书 山东渔翁信息技术股份有限公司 7 卫士通彰显国家队实力 在湘交流云安全架构 航天信息股份有限公司 北京电子科技学院 8 国家域名安全联盟成立 北京中电普华信息技术有限公司 北京龙芯中科技术服务中心有限公司 空军电子技术研究所 广州赛宝认证中心服务有限公司 本期特稿 9 陈克非 综合考量成为现有密码主要挑战 周 雪 成都三零盛安信息系统有限公司 12 我在云端 安全企业谈云计算 ( 续 ) 新华科技 ( 南京 ) 系统软件有限公司 22 企业眼中的密码学与密码应用 后量子密码公钥算法研究尤为迫切 江苏敏捷科技股份有限公司 中标软件有限公司 白 洁 访成都卫士通信息产业股份有限公司副总工程师余秦勇 金 金 中国航天科工集团三零四研究所 河北华烨冀科信息技术有限责任公司 陕西东方信息安全产业基地有限公司 成都三零瑞通移动通信有限公司 23 语时代 来袭 胡晓荷 26 终端安全 内网安全 数据安全 未来谁是主流? 北京百卓网络技术有限公司 28 安全芯片 做强产业链才有底气 海军装备研究院指挥自动化研究所 31 拯救隐私 不做透明人 理事单位 吉 雨 首部个人信息保护国家标准编制完成 王鹤鸣 北京信息安全测评中心 北京电子技术应用研究所 北京市信息技术应用研究所 行业分析 深圳市永达电子股份有限公司 33 智能手机 性能与安全一个不能少 中国电子科技集团公司第三十二研究所 36 Ultrabook 难逃上网本魔咒 普华基础软件股份有限公司 深圳市宝德通讯技术有限公司 山西中网信息产业有限公司 中国电子科技集团公司第二十九研究所 君 君 北 冥 年杀毒软件行业新闻传播分析报告 方 坤 nm 有多强悍 Intel Ivy bridge 全面评测 严威川 北京海泰方圆科技有限公司 空军装备研究院通信所 中国长城计算机深圳股份有限公司 中国工程物理研究院计算机应用研究所 南京军区指挥自动化工作站 北京新汉电脑有限公司 市场纵横 45 Ivy Bridge 项庄舞剑 意在沛公 金葳蕤 Yanrodman 46 国民技术将开发新一代可信计算解决方案 江苏中科梦兰电子科技有限公司 47 Check Point 预测 2012 年九大安全趋势 福建伊时代信息科技股份有限公司 48 浅谈 WAF 市场中常见的检测技术 吕 明

6 目 次 本刊为 中国知识资源总库 科技精品期刊库 遴选 信息安全与通信保密 Xinxi Anquan Yu Tongxin Baomi 月刊 1979 年创刊 2012 年 5 月第 5 期 ( 总 221 期 ) 方案应用 49 全面安全的网络解决方案 数据收录 CNKI 中国期刊全文数据库 专家新论 中文科技期刊数据库 ( 全文版 ) 51 基于成本 / 收益分析的网银安全 班晓芳 佟 鑫 中国核心期刊遴选数据库用刊 55 组合公钥 (CPK) 技术的创新实践 赵建国 中国学术期刊综合评价数据库来源期刊 通信技术 中国学术期刊 ( 光盘版 ) 万方数据 数字化期刊群入网期刊 电子科技文献数据库 中国知识资源总库 科技精品期刊库 遴选 发行提示 58 基于颜色与线段的图像轮廓提取算法 61 一种水声信道自适应均衡算法研究 夏 旸 管海兵 宦 飞 吴 越 李 军 翟军伟 学术研究 北京 社科文献出版社金台路批发部 ( 云计算虚拟化安全技术研究 ) 新星天勤科技书店 西单图书大厦 66 商业银行信息科技风险评估研究与实施 王府井新华书店 海淀图书城 北京国家图书馆 北邮 69 SSL-Webmail 中间人监测技术研究 图鸿电子科技书店 海淀图书城电子科技书店 72 基于状态的 SQL 注入漏洞检测技术研究 李常顺 胡 勇 上海 上海得缘智深商务咨询公司 ( ) 75 防火墙策略冲突检测及冲突策略可视化 孙立琴 潘 理 济南 佛山书苑 ( 经十一路 18 号 -2) 78 一种基于 RBAC 的多域间角色映射机制 周鑫 潘理 山大南路大家图书 成都 四川尚和书刊配送有限公司 ( ) 新华书店 西南书城 购书中心 广东 广州天河北 906 号高科大厦 A 座 806 号 ( 刘丽 ) 新加坡 XINHUA CULTURAL ENTERPRISES(s)PTELTD 易 涛 81 利用级联方法构造的布尔函数 毛 南 姚沛年 曹玉磊 等 欧阳江 李 勍 刘嘉勇 董新锋 宋云芬 张文政 84 云计算基础设施攻击及防范技术研究 张志明 王 强 87 进阶持续性渗透攻击的特征分析研究 黄达理 薛 质 90 一种改进的图像秘密共享方案 王晓龙 陈亚骏 94 基于 H.264/SVC 的视频加密技术研究 李敏 郭捷 ( 电话 传真 ) 新西兰 8 Ngauruhoe Street Mt Eden Auckland 本期简讯 New Zealand ( 电话 ) 36 信息安全与通信保密 杂志启用科技期刊学术不端文献检测系统 德国 Heidelberg University Heidelberg Germany 38 HID Global 举办门禁技术交流会 50 中国密码学会 2012 年会征文通知 54 第 22 届全国信息保密学术会议征文通知 57 更正 74 通信技术 征稿启事 广告索引 封面 盛安 封底 瑞通 彩三 2012 年征订 封二 卫士通 彩一 捷普 彩四 研华科技 封三 明朝万达 彩二 吉大正元

7 F ocus In T his I ssue 本期视点 呼唤 中国祥云 越来越多的普通用户发现这些真 不 错 Mobileme 换 成 了 icloud 数字令人激动不已 而 难度依然不言而喻 的 降 低 和 安 全 性 方 面 的 诸 多 挑 战 与 国 外 相 比 国 内 云 计 算 的 发 而且免费 不错 还可以通过 3G 和 展多以大企业的需求为导向催生而 WiFi 实 现 数 据 同 步 数 据 线 可 有 可 出 云 计 算 的 业 务 导 向 来 自 无了 什么叫做圈内开花圈外香 于 云服务 提供商在建造 云计算 云计算 恐怕就是一个很好的例子 从最初的电脑 数据中心后 能较快面向稳定的需求群体收回投资成本 到现在的手机 ipad 甚至电视 汽车 以至于连 60 多 在实际需求和业务导向面前 云计算 从技术 到产品 岁的老妈有一天都主动问我 这个 云 到底是什么 到服务能够互相促进增长 但同时 我们也应理性看到 Cyberspace 变幻莫测 一个新的计算和存储方式 目前国内 云计算 数据中心建成后大规模投入使用的 的出现 或者一个新的基础设施的构建 无色无声无相 生态环境尚未成熟 市场和用户需求还有待培育 这 中即已蓬勃发展 姿态横生 这就是 云计算 荒 个产业如何平稳向前发展 需慎之又慎 荒油云 无边而下 未来无可预知 坦然面对自己面 对未来是一种力量 云计算 现阶段不妨重在增大黏性 将 云服务 提供商是否能给客户提供满意的服务放在重中之重 这 作为一种数据存储 管理 使用方式的巨大变革 云 需要软硬兼施 无论是传统数据中心还是 云计算 中 计算 必然将对产业发展带来前所未有的推动力 但 云 心 都是为了支持信息系统高效可靠运行 同时 必须 计算 目前在国内的发展却显示出了某些特殊性 自 云 保证数据的私密性和完整性 在公有 云安全 尚无统 计算 成为 十二五 发展规划中的重点项目 一些地 一的标准 企业 IT 部门也没有足够经验对 公有云 方政府以极大的热情和优惠条件发力 云计算 如以 进行风险评估之前 众多企业对云的使用势必会采取更 提供 云计算 服务的主流跨国企业 IBM 等纷纷在各 务实和更保守的审慎态度 地落户 另一方面 国内一些大行业也与地方政府合力 当 Apple 和 Blackberry 还 是 两 种 水 果 时 我 们 甚 投入巨资建造 云计算 数据中心 产业规模达到数千 至不知道云为何物 如今 云 在街头巷尾被热议 我 亿元人民币 们仍然无法说清如何在云中漫步 也许这个世界永远不 数字令人激动不已 而难度依然不言而喻 会停止对新生事物的质询 如 庄子 天地 所云 大 通过 云计算 和 云服务 来促进经济发展本来 惑者终身不解 而不解不代表我们就没有赤诚的希望 是一种前瞻性 开放性和更加环保的新经济增长方式 那就是 希望国人能在 国际云海 中 尽快打造出 但 这 种 战 略 制 定 的 出 发 点 一 定 要 基 于 切 实 了 解 自 身 属于中国人自己的 中国祥云 的 实 际 情 况 然 后 再 行 开 发 产 品 提 供 服 务 来 满 足 客 户需求 根据 IDC Energy Insights 的高级研究分析师 Milan Kalal 的分析 中东欧地区公共设施行业意识到 一定能从 云计算 模式中获取竞争优势 但对采取相 关 策 略 仍 抱 有 审 慎 态 度 并 且 其 针 对 云 计 算 的 IT 预算仍占较小比例 有数据表明 目前真正安排预算在 云计算 方面的中东欧公共设施企业仅有 3% 而且 这些受访者只愿意将其 10% 或稍多的 IT 预算用于 云 计算 总体上看 云计算 在中东欧地区仍处在初 期发展阶段 而行业标准 管理框架和最佳实践等有助 于推动其广泛应用的因素还尚未成型 云计算 的发展还面临着关键技术的突破 成本 cdcismag@vip.sina.com 信息安全与通信保密 1

8 政府之声 G overnment V oice 公安部集中打击侵害公民个人信息犯罪 近日 在公安部统一部署指挥下 北京 河北 山 勒索和绑架 暴力讨债等违法犯罪活动 四是作案具有 西等 20 个省区市公安机关开展集中行动 严厉打击侵害 很强的隐蔽性 犯罪分子主要是利用网络进行倒卖信息 公民个人信息违法犯罪活动并取得重大战果 活动 用的都是虚拟身份 为了逃避打击 经常变换身份 截 至 发 稿 之 日 各 地 公 安 机 关 共 抓 获 犯 罪 嫌 疑 人 交易成功后立即销毁作案证据 余名 挖出非法出售公民个人信息的 源头 38 个 为此 2012 年 2 月 公安部成立专案指挥部 对犯 摧毁侵害公民个人信息的数据平台和 资源大户 161 个 罪线索进行梳理和初查 3 月 13 日 公安部部署北京 打掉从事非法讨债 非法调查等 非法调查公司 611 个 河北 湖南 四川等 20 个重点省份全力开展专案侦查 有力地打击了此类违法犯罪活动的嚣张气焰 明确打击重点是深挖源头和 内鬼 摧毁非法数据平 公安部有关负责人介绍 近年来 随着我国经济的 台和打掉依赖公民个人信息的下游犯罪活动 明确专案 快速发展和信息网络的普及 侵害公民个人信息类违法 目标是坚持深度打击 摧毁犯罪网络 重创此类犯罪 犯罪活动日益突出 互联网上非法买卖公民个人信息泛 为全面治理创造了良好条件 滥 由此滋生的电信诈骗 敲诈勒索 绑架和非法讨债 4 月 20 日 在经过艰苦细致的工作并掌握了大量确 等下游犯罪屡打不绝 社会危害严重 群众反响强烈 凿的证据后 公安部部署 20 个省区市公安机关开展集中 对此 中央高度重视 要求坚决依法予以打击 积极回 收网行动 多警种协同作战 一举摧毁了这个覆盖全国 应百姓关注 涉案人员众多的犯罪网络 2011 年 10 月 公安部组织广东 北京等地公安机 公安部有关负责人表示 公安部高度重视打击侵害 关开展深入调查 掌握了此类违法犯罪活动的特点 一 公民个人信息违法犯罪活动 此次集中行动是公安部直 是形成犯罪网络和利益链条 一些犯罪分子大肆向掌握 接部署指挥的第一仗 今后将始终保持严打高压的态势 信息的部门内部人员购买信息 并通过网络相互买卖 坚决维护公民个人信息安全和人民群众合法权益 同时 形成了公民个人信息的网络交易平台 有的犯罪分子掌 公安机关将积极配合有关部门开展源头治理 堵塞监管 握银行 民航 通信等涉及公民个人生活各方面的信息 漏洞 完善内部管理 采取切实有效的措施保护公民个 多达 40 余项 上亿条 二是内外勾结 许多信息源头都 人信息安全 公安机关也提醒广大群众 要增强个人信 来自掌握公民个人信息的单位和部门 个别 内鬼 为 息保护意识 不要轻信或轻易将个人信息提供给无关人 了经济利益非法出售大量公民个人资料 三是与各类下 员 发现个人信息被泄露并造成严重后果的 要及时向 游犯罪相互交织 危害巨大 一些犯罪团伙和非法调查 公 安 机 关 报 案 公司利用非法获取的公民个人信息进行电信诈骗 敲诈 xinhuanet.com/tech/ /25/c_ htm) 2 信息安全与通信保密 ( 文 章 来 源 新 华 网

9 G overnment V oice 政府之声 2012 年通信网络安全防护检查工作会议召开 为 进 一 步 提 高 通 信 网 络 安 全 防 护 水 平 切 实 做 好 企业的指导培训和督促检查力度 积极配合通信主管部 十八大 通信网络安全保障工作 工业和信息化部通 门组织开展的抽查和技术检测工作 专业检测机构要进 信保障局于 3 月 19 日上午组织召开全国电视电话会议 一步提升技术检测能力 规范检测方法和工作流程 配 对 2012 年通信网络安全防护检查工作进行相关部署 合做好自查和抽查工作 加强对本单位工作人员的管理 各省 自治区 直辖市通信管理局 以及中国电信 中 保证技术检测工作的客观公正 国移动 中国联通集团公司和中国互联网络信息中心代 2012 年通信网络安全检查工作将持续 5 个多月 预 ( 文章来源 工信部通 表参加了会议 电信研究院 国家计算机网络应急技术 计于 2012 年 8 月 31 日结束 处理协调中心 国家信息技术安全研究中心 中国信息 信保障局 安全测评中心等技术支撑单位也参加了会议 n / html) 会议对 关于开展 2012 年通信网络安全防护检查工 作的通知 ( 工信部保函 [2012]102 号 ) 及 网络单元安全 防护检测评分方法 ( 试行 ) 进行了解读 就本次检查工 作的目的 范围 内容及具体工作安排等做了进一步说明 通信保障局相关负责人在会上要求各相关单位要精 心组织 周密部署 确保检查工作取得实效 各地通信 管理局要加强组织领导 指导督促本地区电信运营企业 认真开展自查整改 并加大抽查工作力度 基础电信运 营企业和中国互联网络信息中心 要做好内部协调 将 检查工作要求传达到相关省 地市级公司 加强对基层 个人信息保护国家标准编制完成 4 月 12 日 工业和信息 化部宣布 信息安全技术 公共及商用服务信息系统个 人信息保护指南 已编制完 成 现已作为指导性技术文 处理个人信息应当具有特定 明确和合理 的目的 应当在个人信息主体知情的情况 下获得个人信息主体的同意 应当在达成 个人信息使用目的之后删除个人信息 件通过全国信息安全标准化 这项标准还正式提出了 处理个人信息时应当遵循的 8 项基本原则 即目的明确 最少够用 公开告知 个人 同意 质量保证 安全保障 诚信履行和责任明确 划分 技术委员会主任办公会审议 正按照国家标准审批程序 了收集 加工 转移 删除 4 个环节 并针对每一个环 上报国家标准化管理委员会批准 节提出了落实 8 项基本原则的具体要求 这项标准明确要求 处理个人信息应当具有特定 据介绍 这项标准由全国信息安全标准化技术委员 明确和合理的目的 应当在个人信息主体知情的情况下 会提出并归口组织 中国软件测评中心等 30 多家单位参 获得个人信息主体的同意 应当在达成个人信息使用目 与编制 工信部有关负责人表示 作为国家标准 这项标 的之后删除个人信息 准的出台 可以进一步促进公民对个人信息的自觉保护 这项标准最显著的特点是将个人信息分为个人一般 增进共识 为个人信息保护立法积累经验 可以在一定程 信息和个人敏感信息 并提出了默许同意和明示同意的 度上规范个人信息的处理行为 构建政府引导下的行业 概念 对于个人一般信息的处理可以建立在默许同意的 自律机制和模式 除政府机关等行使公共管理职责的机 基础上 只要个人信息主体没有明确表示反对 便可收 构以外的各类组织和机构 在利用信息系统处理个人信 集和利用 但对于个人敏感信息 则需要建立在明示同 息过程中的个人信息保护都适用这个标准 ( 文章来源 意的基础上 在收集和利用之前 必须首先获得个人信 新 华 网 息主体明确的授权 c_ htm) 信息安全与通信保密 3

10 业界动态 I ndustry E vents 本栏目由保密通信重点实验室协办 2012 会议抢先报 本刊编辑整理 和应用技术开发的专家教授 研究学者 行业精英 工程技 术人员和在校研究生 共同探讨密码算法领域各方向的最新 成果 学术热点 学术动态及发展趋势 促进密码学术界和 产业界的相互交流与合作 2012 年网络 通信和计算国际会议 时间 2012 年 7 月 日 地点 河北秦皇岛 5月 第四届通信与移动计算国际学术会议 主办单位 北京邮电大学 时间 2012 年 5 月 第三届 IEEE 信息论与信息安全国际会议 地点 广西桂林 时间 2012 年 7 月 日 主办单位 World Research Institute 地点 河北秦皇岛 第十六届 IEEE 计算机支持的协同设计国际学术会议 主办单位 IEEE 北京分会 中国电子学会 中国通信学会 时间 2012 年 5 月 日 和中国人工智能学会 地点 湖北武汉 主要议题 信息论 信息安全 计算机技术 通信技术 网 2012 年西安安博会 络以及其他相关领域 时间 2012 年 5 月 日 2012 年全国物联网与信息安全学术年会 地点 陕西西安 时间 2012 年 7 月 日 展会范围 视频监控设备 入侵报警系统设备 防爆安全检 地点 河北秦皇岛 查设备 安防信息传输系统及设备 信息与网络安全技术设 主办单位 中国通信学会青年工作委员会 中国人工智能学 备 智能交通技术产品 物联网技术等 第二届 IEEE 计算机科学与自动化工程国际会议 时间 2012 年 5 月 日 地点 湖南张家界 主办单位 IEEE 北京分会 湖南人文科技学院 主要议题 计算机科学 / 信息技术 / 自动控制 / 管理工程 风险评估与 ISO 体系建设 高效的等级保护实施培训 信息安全管理岗位实战研修课程 免费培训 广州站 2012 年 5 月 11 日 (2 天 ) 上海站 2012 年 5 月 18 日 (2 天 ) 2012 计算机科学与信息 安全工程国际学术 6月 研讨会 时间 2012 年 6 月 日 地点 湖北武汉 主办单位 中南财经政法大学信息与安全工程学院 网络渗透与深度防御 免费培训 重庆站 2012 年 5 月 25 日 (1 天 ) 风险评估与 ISO 体系建设 免费培训 深圳站 2012 年 6 月 8 日 (1 天 ) 主要议题 计算机科学与技术 计算机工程 信息科学 信息技术 电子信息 安全技术与工程 环境科学与环境 工程 管理科学与工程 第 32 届分布式计算机系统国际会议 时间 2012 年 6 月 日 信息安全中国行 免费培训沙龙活动 丰富多彩的信息安全知识得 到了广大与会者的热烈欢迎 和会后反响 信息安全中国行 信息安全中国行 5 地点 中国澳门 大型系列活动是北京谷安 月 -6 月将在广州 上海 主办单位 IEEE 天下科技有限公司针对中 重庆与深圳举办 期待您的 国企业与个人需求所打造 参与和关注 2012 年密码算法学术会议 7月 时间 2012 年 7 月 日 的信息安全活动品牌 活动自 2011 年 12 月在 地点 安徽淮北 济 南 启 动 2012 年 在 全 国 主办单位 中国密码学会密码算法专业委员会 20 个主要城市举办 活动 承办单位 淮北师范大学和淮北职业技术学院 以信息安全培训 知识分享 会议内容 会议旨在汇聚国内密码算法领域中从事学术研究 为主 案例解析等形式展开 4 信息安全与通信保密

11 Industry Events 业 界 动 态 自 主 创 新 重 点 跨 越 技 术 发 展 引 领 未 来 会 智 能 数 字 内 容 安 全 专 业 委 员 会 协 办 单 位 : 灾 备 技 术 国 家 工 程 实 验 室 承 办 单 位 : 北 京 邮 电 大 学 信 息 安 全 中 心 东 北 大 学 秦 皇 岛 分 校 物 联 网 与 信 息 安 全 (IITIS) 研 究 所 第 四 届 全 国 密 码 学 与 信 息 安 全 教 学 研 讨 会 8 月 时 间 :2012 年 8 月 2-4 日 地 点 : 河 南 焦 作 主 办 单 位 : 中 国 密 码 学 会 教 育 工 作 委 员 会 会 议 内 容 : 将 邀 请 国 内 众 多 从 事 密 码 学 与 信 息 安 全 专 业 教 学 工 作 的 专 家 学 者 和 权 威 人 士, 就 密 码 学 与 信 息 安 全 类 专 业 的 建 设 问 题 开 展 深 入 广 泛 的 研 讨 中 国 密 码 学 会 2012 年 会 时 间 :2012 年 8 月 日 地 点 : 安 徽 合 肥 主 办 单 位 : 中 国 密 码 学 会 承 办 单 位 : 中 国 科 学 技 术 大 学 会 议 内 容 : 大 会 将 为 国 内 密 码 学 学 者 搭 建 一 个 学 术 交 流 的 平 台, 交 流 有 关 密 码 学 领 域 研 究 成 果, 探 讨 密 码 学 研 究 与 应 用 所 面 临 的 关 键 性 问 题 和 研 究 方 向 第 五 届 中 国 计 算 机 网 络 与 信 息 安 全 学 术 会 议 时 间 :2012 年 8 月 上 旬 地 点 : 福 建 武 夷 山 承 办 单 位 : 福 建 师 范 大 学 ( 软 件 学 院 ) 会 议 内 容 : 探 讨 计 算 机 网 络 与 信 息 安 全 及 相 关 领 域 最 新 的 研 究 进 展 和 发 展 趋 势, 为 国 内 外 计 算 机 网 络 与 信 息 安 全 研 究 者 开 发 者 和 用 户 搭 建 一 个 学 术 交 流 的 平 台 第 18 届 知 识 发 现 与 数 据 挖 掘 ACM 学 术 会 议 时 间 :2012 年 8 月 日 地 点 : 北 京 主 办 单 位 :Association for Computing Machinery TBA 第 22 届 全 国 信 息 保 密 学 术 会 议 9 月 时 间 :2012 年 9 月 上 旬 地 点 : 宁 夏 主 办 单 位 : 中 国 计 算 机 学 会 信 息 保 密 专 业 委 员 会 国 家 保 密 科 学 技 术 研 究 所 主 要 议 题 : 信 息 安 全 等 级 保 护 和 分 级 保 护 ; 信 息 安 全 风 险 评 估 与 系 统 测 评 技 术 ; 云 计 算 物 联 网 三 网 融 合 等 新 技 术 应 用 的 安 全 保 密 第 27 次 全 国 计 算 机 安 全 学 术 交 流 会 时 间 :9 月 中 旬 地 点 : 四 川 九 寨 沟 主 办 单 位 : 中 国 计 算 机 学 会 计 算 机 安 全 专 业 委 员 会 主 题 : 面 向 十 二 五 的 信 息 安 全 主 要 议 题 : 物 联 网 安 全 3G 时 代 的 移 动 信 息 安 全 三 网 融 合 与 安 全 管 理 云 计 算 与 云 安 全 网 络 监 测 与 监 管 技 术 等 级 保 护 技 术 信 息 安 全 应 急 响 应 体 系 可 信 计 算 信 任 体 系 网 络 实 名 制 预 防 和 打 击 计 算 机 犯 罪 2012 中 国 互 联 网 大 会 时 间 :9 月 11 日 -14 日 地 点 : 北 京 主 办 单 位 : 中 国 互 联 网 协 会 主 题 : 开 放 诚 信 融 合 迎 接 移 动 互 联 新 时 代 第 九 届 中 国 信 息 和 通 信 安 全 学 术 会 议 时 间 :2012 年 9 月 日 地 点 : 四 川 成 都 主 办 单 位 : 电 子 科 学 技 术 大 学 会 议 内 容 : 为 国 内 信 息 和 通 信 安 全 研 究 者 搭 建 一 个 学 术 交 流 的 平 台, 交 流 有 关 信 息 和 通 信 安 全 领 域 最 新 研 究 成 果, 探 讨 信 息 和 通 信 安 全 研 究 与 应 用 所 面 临 的 关 键 性 问 题 和 研 究 方 向 第 9 届 IEEE 先 进 视 频 和 基 于 信 号 的 监 视 国 际 会 议 时 间 :2012 年 9 月 日 地 点 : 北 京 主 办 单 位 :IEEE 第 六 届 中 国 可 信 计 算 与 信 息 安 全 学 术 会 议 10 月 时 间 :2012 年 10 月 日 地 点 : 福 建 福 州 主 办 单 位 : 中 国 计 算 机 学 会 承 办 单 位 : 中 国 计 算 机 学 会 容 错 计 算 专 业 委 员 会 福 建 师 范 大 学 主 题 : 可 信 计 算 与 信 息 安 全 理 论 和 技 术 云 计 算 安 全 物 联 网 安 全 三 网 融 合 系 统 安 全 第 十 四 届 IEEE 通 信 技 术 国 际 会 议 11 月 时 间 :2012 年 11 月 9-11 日 地 点 : 四 川 成 都 主 办 单 位 :IEEE 北 京 分 会 中 国 通 信 学 会 中 国 电 子 学 会 会 议 内 容 : 关 注 通 信 技 术 的 新 理 论 及 其 应 用, 为 通 信 技 术 及 相 关 研 究 领 域 的 专 家 学 者 交 流 最 新 研 究 成 果 探 讨 学 术 发 展 方 向 提 供 一 个 广 泛 的 交 流 平 台 法 国 巴 黎 国 际 安 防 展 12 月 时 间 :2012 年 12 月 4-7 日 地 点 : 法 国 巴 黎 展 品 范 围 : 检 测 / 反 恐 怖 主 义 生 物 测 定 学 计 算 机 安 全 IT 与 网 络 安 全 周 界 安 全 信 息 安 全 等 会 议 抢 先 报 信 息 安 全 与 通 信 保 密 5

12 业界动态 I ndustry E vents 本栏目由保密通信重点实验室协办 我国颁发首批信息系统安全集成服务资质认证证书 海泰方圆产品中标华夏银行 3 月 31 日 中国信息安全 4 月 17 日 海 泰 方 圆 二 代 液 晶 认证中心在四川成都召开了信 按钮 USBKey 成功中标华夏银行 这 息系统安全集成服务资质认证 是继海泰方圆一代 USBKey 在金融行 证书颁证大会 24 家提供信息 业长期保持领先的技术和市场优势之 系统安全集成服务的单位获得 后 海泰方圆二代液晶按钮 USBKey 了认证证书 成为首批信息系 在金融行业股份制商业银行赢得的又 统安全集成服务资质认证获证 一认可 标志着海泰方圆在网银市场 单位 此次颁证大会的召开标志着信息系统安全集成服务资质认证工作取得 上优势的全面拓展 了阶段性的成果 是信息安全服务资质认证制度的又一项重要进展 信息系统安全集成服务 是指从事计算机应用系统工程和网络系统工程 的安全需求界定 安全设计 建设实施 安全保证的活动 信息系统安全集 成服务的出现 是国家和社会信息化发展的产物 是信息安全服务行业向着 规范化 专业化方向进一步发展的必然结果 安全集成服务已经成为服务提 在此次华夏银行网银 USBKey 采 供商普遍提供的重要服务项目 在信息安全保障中工作的作用也日益凸显 购项目中 海泰方圆凭借强大的品牌 既顺应了国家 行业和用户开展信息安全保障工作的需要 也是计算机信息 优势 丰富的金融行业经验 出众的 系统集成服务向保障信息安全方向的进一步发展 是计算机信息系统集成服 产品性能及完善的售后服务 赢得了 务的新业务增长点 自 2008 年 2010 年相继开展信息安全应急处理 风险评 华夏银行的最终青睐 海泰方圆二代 估这两类服务资质认证工作以来 中国信息安全认证中心于 2011 年启动了信 液晶按键 Key 通过液晶屏幕显示和物 息系统安全集成服务资质认证工作 经过对认证申请单位的严格审核 颁发 理按键确认 实现了更安全的电子签 了首批信息系统安全集成服务资质认证证书 名应用 可有效防范木马病毒 封堵 东软 NetEye 隆重推出多款新品 3 月 27 日 东软在京发布了 多款东软 NetEye 系列网络安全新 远程挟持 和 数据篡改 风险 北京知道创宇发布 中国互联网网站安全报告 品 包括东软 NetEye 基于云计算 3 月 26 日 北京知道创宇信息技 环境的应用交付安全网关 (ADSG) 术有限公司 中国互联网网 东 软 NetEye 下 一 代 应 用 防 火 墙 站安全报告 发布会在金台饭店举行 (NISG-NG) 东软 NetEye 高性能防 100 多位行业用户 专家学者及国内知 火墙 (FW-Rocket) 新品 名媒体出席了本次发布会 此次推出的 ADSG 是东软在网 会上 中国信息安全测评中心资 络安全领域积累了多年的深入研究 实践和安全问题的解决经验基础之上开发 深安全顾问蒋鲁宁对 2011 年互联网网 出的产品 其提供的 3E 安全解决方案 涵盖了顶级的防火墙技术 Anti-DDoS 络安全行业趋势进行了详细的回顾 技术 量身定制的 IPS 功能 应用特定的流量负载均衡和交付担保 NISG-NG 并探讨了未来的应对策略 CNCERT/ 采用基于 NEL 核心技术的入侵检测和世界领先的云安全技术 具备更细粒度的 CC 运行部副主任王明华通过具体的数 应用层安全控制 更完整的内容级防护技术 更高性能的应用层处理能力 更 据对 2011 年中国互联网网络安全态势 全面的安全防护方案以及更完善的基础软件架构 而 FW-Rocket 则选择了具有 进行了深度的解析 并指出网站安全问 更好可编程性和更高性能的 FPGA 芯片技术 以及独特的 FPGA+ 多核 架构 题依然是未来的安全热点问题 和具有自主知识产权的多核多平台并行安全操作系统 不仅具有万兆级的吞吐 量 而且在并发连接数和每秒新建连接数上有着国内领先的性能优势 据悉 知道创宇互联网网站监测 中心及 Web 安全研究团队将对中国互 此外 东软还同时发布了东软 NetEye 数据库统一访问控制系统 (NDCS) 联网网站安全整体状况进行持续跟踪 东软 NetEye 统一身份管控系统 (UIMC) 东软 NetEye 安全审计堡垒机 (NABH) 研 究 并 在 公 司 官 网 ( 东软 NetEye 上网行为管理系统 (NIBC) 东软 NetEye 统一身份认证系统 (NUAS) com) 及 博 客 (blog.knownsec.com) 及 时 和东软 NetEye 应用安全集成网关 (NSA) 一系列新品 发布相关的监测数据及研究成果 6 信息安全与通信保密

13 业界动态 I ndustry E vents 自主创新 重点跨越 技术发展 引领未来 全国信息安全标准委员会召开 2011 年会及表彰先进个人 北信源连续 6 年领跑终端安全市场 3 月 9 日 全国信息安全标准化技术委员会 ( 以下简称信安标委 ) 在京召 近日 据 年赛迪顾问 开了 2011 年度全体委员会议 会议由闻库副主任委员主持 会上 各工作组 发布的终端安全产品市场占有率调查 代表分别介绍了工作组 2011 年工作情况和 2012 年工作要点 赵泽良副主任 资料显示 北信源再度领先中国终端 委员受主任委员委托 对委员会 2011 年度工作做了总结 提出了委员会 2012 安全管理市场 也是其连续 6 年领跑 年度工作要点 同时 会议 中国终端安全管理市场 同时 在年 还表彰了郭启全 傅如毅等 9 度成功企业评选中 北信源第 6 次蝉 名信安标委 2011 年标准化工 联了 中国终端安全管理审计及移动 作先进个人和 10 家电子政务 存储介质管理市场年度成功企业 信息安全国家标准优秀应用 在当前如此激烈的市场竞争中 此表 案例申报单位 现也再度表明 在终端安全管理领域 与会委员对委员会 2011 年度工作总结和 2012 年度工作要点进行了审议 提出了修改完善意见和建议 并认为 2012 年委员会应加大对云计算 物联网等新技术 新应用的信息安全 北信源市场优势继续保持领先 Blue Coat 发布安全报告 标准研制力度 加大信息安全标准宣贯力度 加强对国际标准的跟踪和研究 3 月 27 日 Blue Coat 发 布 了 国家标准化管理委员会方向副主任致辞并讲话 他充分肯定了信安标委 2012 网 络 安 全 报 告 识 辨 和 分 析 在 2011 年取得的显著成绩 并对信安标委 2012 年工作提出了要求和建议 2011 年恶意攻击的趋势 并提出一些 继续加强顶层设计 做好宏观规划 继续健全和完善信息安全标准体系 着 可保障企业安全的建议 力创新工作机制 营造良好的标准化环境和氛围 方向副主任指出 信息安 全标准化工作既是推动全国标准化工作科学发展的重要组成部分 也是促进 我国信息安全保障体系建设 巩固国家安全的重要基础 信息安全标准化工 作在各部门的支持配合下必将再上一个新台阶 为我国相应的产业发展和国 家信息安全保障工作发挥更好的支撑作用 做出更大的贡献 卫士通彰显国家队实力 在湘交流云安全架构 报 告 分 析 了 来 自 Blue Coat 3 月 30 日 卫士通公司昆明营销中心与湖南弘毅电子科技发展有限公司 WebPulse 服 务 的 数 据 WebPulse 是 联合主办的 云计算环境下的数据中心建设高层研讨会 在长沙举办 会议 基于云端 实时分析和评级的服务 邀请到湖南省主要的省直 市直单位信息中心领导 湖南知名高校的专家教 以联合防御保护所有用户 透过 Blue 授近 60 人参加 卫士通公司副总经理吕涛出席会议并致辞 方案中心副总经 Coat ProxySG 装 置 和 Blue Coat Cloud 理方正发表演讲并与现场嘉宾进行了交流 Service WebPulse 单日内接收到来自 卫士通副总经理吕涛在致辞中指出 云计算是信息化发展的主要趋势 全球 万用户的 10 亿个网页内 信息安全及商业模式是云计算发 容 要 求 WebPulse 对 网 页 生 态 系 统 展的两个主要制衡因素 卫士通 有透彻的了解 能自动分析异常流量 近年来携安全战略切入云计算已 及将其与已知的恶意网络联系起来 诞生出相应的成果 愿携手湖南 以在它们发动攻击前便做出封锁 透 安全界同仁 共同打造安全云计 过此技术和其他先进的分析工具 算体系 方案中心副总经理方正 WebPulse每日能够封锁 330 万个威胁 在会上发表了 打造安全的云计 在 2011 年 网络威胁范畴中最重大 算数据中心 的专题演讲 他简 的变化是利用恶意网络 ( 恶意软件网 要介绍了卫士通公司作为信息安全国家队的整体优势和实力 重点分析了卫 络 ) 发动活跃的网络攻击 这些网络 士通云计算安全体系架构 以及基于安全存储如何打造一个安全的云计算数 架构复杂 而且影响较任何单个攻击 据中心 并与各位专家分享了安全存储系统的应用场景 在互动交流过程中 更为持久 导致 2011 年恶意网站的数 与会嘉宾对卫士通公司的主要业务战略及实力有了深入了解 纷纷表示今后 量大增 240% 并预计在 2012 年里 将加强项目合作与技术交流 共同促进湖南信息安全产业的发展 它 将 占 所 有 全 新 攻 击 中 的 2/ 信息安全与通信保密 7

14 业界动态 I ndustry E vents 本栏目由保密通信重点实验室协办 第五届中国数据中心大会在京举行 3 月 30 日 第五届中国数据中心大会在京隆重举行 来自业内的知名专家 椒图科技发布安全云解决方案 3 月 28 日 椒图科技在京发布了 厂商代表以及各行业用户的代表 600 多人参加了本次盛会 中国电子信息产业 基于椒图主机安全环境系统 (JHSE) 的 发展研究院副总工程师乌宝贵作为主办方领导在大会上致辞 他表示 数据中 安全云解决方案 致力于解决云计算 心作为企业 IT 建设的主要支撑平台 如何在有效 合理地控制总体拥有成本的 信息系统基础架构平台的安全问题 前提下 从大数据中获取有价值的信息 如何高效利用云计算资源 更好地为 企业业务的发展服务 以及如何简化数据的管理 是企业当前必须面对的挑战 大会以 大数据时代的数据中心变革 为主题 全面深入地探讨了在大数 据时代来临的背景下 数据中心在构建 运维 管控和服务等方面将面临的挑 战和机遇 大会分为高峰论坛和 3 个封闭式 CIO 研讨会 在高峰论坛上 来自 中国台湾云端运算联盟技术专家委员会的大数据专家委员陈育杰从宏观角度介 绍了大数据引发的产业变革 用户代表鹏博士电信传媒集团执行董事 集团副 总裁张光剑则详细介绍了亚洲最大单体云数据中心的建设与实施 国家域名安全联盟成立 会上 椒图科技总经理张远明表 示 此次推出的 JHSE 安全云解决方 案 是以安全操作系统为依托 打造 3 月 27 日 由工业和信息化部通信保障局作为指导单位 中国互联网络 自主 可控的云计算基础架构 为上 信息中心 (CNNIC) 发起的 国家域名安全联盟 在京正式成立 来自国内域名 层云应用构建 安全云 环境 从而 注册管理机构和域名注册服务机构的 28 家单位成为首批联盟成员 保障云计算系统安全可靠地运行 据了解 该联盟的成立将对整个域名运行行业的全链条进行整合 形成 域名解析安全事前防患和事后应急处理的联动机制 提升国家域名安全 工 捷德助沃达丰实现安全云服务 业和信息化部通信保障局网络安全管理处副处长付景广表示 域名体系的这 近日 捷德被德国沃达丰公司选 种庞大性和关联性 使得任何一个节点 任何一个企业的单独行动都无法独 中开发一种基于标准 SIM 卡的创新安 善其身 必须要整个域名注册运行行业联合起来 共同进行事前域名安全监 全解决方案 在该合作项目中 捷德 测和事后域名攻击应对 有效对付 一石激起千层浪 的域名事故 根据会 的任务主要包括提供存在 SIM 卡上的 议公布的联盟工作章程 CNNIC 将把自身 15 年间国家域名运行管理的技术经 认证应用及在沃达丰计算机中心运行 验向整个域名行业传导和延伸 协助广大联盟成员布局域名解析节点 升级域 的基于云的认证服务 这个方案是通 名解析设备 以提升整个国家域名系统的安全系数 联盟也呼吁越来越多的域 过安装在 SIM 卡上的特殊保护区域 名行业代表加入到联盟中来 共同保障信息社会的基础稳健 ( 文章来源 中 上的认证应用与云功能产生互动完成 国 计 算 机 安 全 http // 的 因此 不需要使用任何附加的安 2012 信息安全论坛和科技展在京举行 3 月 22 日 2012 信息安全论坛和科技展在京举行 200 多位政府官员 学者 全硬件 当用户访问公司网络时 只 需根据认证服务的要求简单地输入密 码即可 或者是使用通过短信发送的 安全专家和软件开发人员参加了此次活动 会上 微软可信赖计算部门总经 一次性密码 公司 IT 部门和本地管 理约翰 兰伯特在主题演讲中重点谈到了中国的具体安全趋势 强调软件开 理人员拥有远程访问权限 从而使他 发人员迫切需要利用能够实现深度防御的安全缓解技术 们可以很容易地对特定用户访问某些 根据 Net Applications 的数据显示 现在中国有几乎 24% 的互联网用户正 应用和设备进行管理 在使用 IE6 占全球 IE6 用户的半数以上 并且这些计算机中的大多数在运 行 Windows XP 或更早的平台 这个统计数据令人担忧 因为微软发布的安全报告显示 Windows XP Service Pack 3 感染恶意软件的可能性比 Windows 7 高 6 倍 与会的计算 机安全专家呼吁用户应尽量使用新产品 安装最新的安 全更新并使用来源可靠的反恶意软件 只有这样才能最 大限度地减少软件漏洞 保障系统安全 科技日报 ) 8 信息安全与通信保密 ( 文章来源 栏目协办单位

15 ( 十 走 专 题 之 密 访 码 学 界 四 ) [ 编 者 按 ] 本 期 记 者 采 访 到 了 上 海 交 通 大 学 计 算 机 科 学 与 工 程 系 博 士 生 导 师 陈 克 非 教 授, 他 就 新 旧 密 码 安 全 需 求 密 码 与 新 兴 产 业 的 融 合, 以 及 密 码 环 境 对 人 才 培 养 的 影 响 等 谈 了 自 己 的 观 点 同 时, 从 本 期 开 始, 我 们 也 将 走 访 一 些 在 密 码 研 究 成 果 应 用 转 化 方 面 有 重 要 贡 献 的 代 表 性 企 业, 听 听 他 们 的 真 知 灼 见 本 期 特 稿 Features 陈 克 非 : 综 合 考 量 成 为 现 有 密 码 主 要 挑 战 本 刊 记 者 周 雪 春 天, 对 于 很 多 人 而 言, 是 一 个 万 物 复 苏 焕 发 勃 勃 生 机 的 季 节 2012 年 的 春 天, 对 于 信 息 安 全 产 业 而 言, 也 如 百 花 齐 放 最 是 一 年 春 好 处 : 私 有 云 对 安 全 的 需 求 愈 发 具 体 详 实 移 动 安 全 也 开 始 积 极 应 对 繁 多 的 恶 意 攻 击 数 据 安 全 意 识 也 被 越 来 越 多 地 认 可 带 着 对 现 如 今 信 息 安 全 诸 多 新 动 态 的 疑 问, 记 者 采 访 了 上 海 交 通 大 学 计 算 机 科 学 与 工 程 系 博 士 生 导 师 陈 克 非 教 授 在 密 码 行 业 内 研 究 多 年 的 陈 克 非 老 师, 一 一 解 答 了 记 者 的 疑 问, 并 对 一 些 密 码 界 敏 感 话 题 详 尽 阐 述 了 自 己 的 观 点 正 所 谓 师 者, 传 道 授 业 解 惑 也, 相 信 此 次 的 采 访 报 道, 对 很 多 读 者 也 非 常 有 借 鉴 的 价 值 新 兴 密 码 安 全 专 打 组 合 拳 在 陈 克 非 教 授 的 研 究 领 域 中, 现 在 的 主 要 研 究 方 向 为 数 据 加 密 用 户 身 份 鉴 别 网 络 和 系 统 安 全 安 全 电 子 商 务 及 应 用 密 码 这 几 个 重 点 当 越 来 越 多 新 兴 行 业 兴 起 之 时, 传 统 的 密 码 安 全 技 术 也 遭 遇 了 不 小 的 挑 战 陈 克 非 教 授 告 诉 记 者, 传 统 的 安 全 需 求 主 要 集 中 在 通 信 安 全, 侧 重 点 在 于 保 障 数 据 交 换 认 证 身 份 等 方 面 而 现 如 今 很 多 新 兴 行 业 则 对 安 全 提 出 了 更 高 的 要 求, 以 电 子 商 务 为 例, 目 前 电 子 商 务 主 要 侧 重 点 在 于 交 易 安 全, 对 身 份 认 证 则 有 了 更 高 的 标 准 要 求 在 谈 及 新 旧 密 码 安 全 需 求 改 变 这 个 话 题 时, 陈 克 非 教 授 表 示, 过 去 网 络 游 戏 领 域 也 存 在 身 份 认 证 的 问 题, 例 如 账 号 丢 失 之 类 的 安 全 隐 患 也 一 直 存 在 即 便 是 放 诸 全 球 安 全 市 场 来 看, 电 子 邮 件 银 行 转 账 金 融 交 易 都 涉 及 到 安 全 问 题 但 与 过 去 的 安 全 需 求 相 比, 现 在 的 安 全 要 求 更 高, 更 有 挑 战 他 举 例 解 释 道, 过 去 网 友 在 游 戏 中 也 有 账 号 丢 失, 但 当 时 的 账 号 往 往 只 是 简 单 的 游 戏 身 份 通 行 证 而 已, 一 旦 丢 失, 重 新 注 册 就 可 以 解 决 现 在, 由 于 游 戏 中 的 虚 拟 货 币 和 武 器 装 备 都 可 以 在 现 实 生 活 中 进 行 现 金 交 易, 那 么 一 旦 账 号 丢 失, 将 带 来 直 接 的 经 济 损 失, 这 对 网 络 游 戏 平 台 而 言 是 绝 对 不 能 允 许 发 生 的, 安 全 的 需 求 也 变 得 更 高 更 具 体 以 此 类 推, 现 如 今 即 便 是 普 通 的 网 络 账 号, 一 旦 被 盗 用, 都 意 味 着 隐 私 的 泄 露 和 实 际 的 经 济 损 失, 所 以 网 络 运 营 商 和 服 务 商 对 安 全 的 需 求 都 较 之 以 前 有 了 更 高 的 标 准 当 然, 安 全 的 高 标 准 并 不 意 味 着 安 全 就 有 了 实 质 的 改 变 陈 克 非 教 授 指 出, 虽 然 安 全 基 础 要 求 变 高 了, 但 是 最 底 层 的 安 全 技 术, 实 质 上 并 没 有 改 变, 所 依 赖 的, 依 然 是 通 信 保 障 加 密 技 术 这 些 安 全 手 段 其 实, 安 全 需 求 的 改 变, 除 了 新 兴 行 业 对 安 全 的 要 求 更 高 之 外, 还 有 一 个 重 要 因 素, 那 就 是 用 户 的 需 求 也 在 改 变 陈 克 非 教 授 认 为, 过 去 用 户 数 量 相 对 较 少, 现 在 用 户 群 增 加, 用 户 需 求 也 变 多, 这 就 需 要 进 行 有 效 的 管 理 事 实 上, 只 要 有 应 用, 就 一 定 会 存 在 安 全 漏 洞, 有 的 漏 洞 是 技 术 层 面 的, 有 的 漏 洞 是 管 理 层 面 的 安 全 技 术 和 管 理 一 直 都 是 重 要 的 课 题, 其 实, 技 术 只 是 提 供 一 种 支 撑 手 段, 制 定 缜 密 的 安 全 策 略 很 重 要, 唯 有 建 立 有 效 的 管 理 制 度, 才 能 最 大 限 度 地 避 免 安 全 隐 患 陈 克 非 教 授 表 示, 以 笔 记 本 为 例, 现 在 的 笔 记 本 台 式 机 其 实 在 出 厂 时 都 有 安 全 设 定, 来 保 障 用 户 的 使 用 安 全, 但 为 了 不 限 制 用 户 的 操 作 和 使 用 感 受, 这 些 出 厂 设 定 往 往 设 置 在 比 较 弱 的 层 次, 因 此 被 很 多 用 户 弃 之 不 用 这 就 体 现 了 一 个 管 理 问 题 : 由 于 大 多 数 用 户 都 不 是 很 专 业, 因 此 即 便 设 备 有 安 全 机 制, 但 没 有 适 当 管 理 软 件, 依 然 不 能 发 挥 设 计 的 安 全 功 能 在 谈 及 密 码 安 全 需 要 注 重 组 合, 提 升 整 体 实 力 时, 陈 克 非 教 授 还 针 对 记 者 提 到 的 中 国 没 有 互 联 网 这 一 观 点, 谈 了 自 己 的 想 法, 他 说 : 因 特 网 也 罢, 互 联 网 也 罢, 都 是 必 须 遵 循 统 一 的 国 际 标 准 协 议, 而 标 准 类 似 于 最 基 本 的 游 戏 规 则, 我 们 虽 然 当 初 没 有 参 与 制 定 规 则, 但 在 这 个 既 有 规 则 下 仍 然 可 以 有 所 作 为 大 家 关 注 的 重 点 应 当 在 网 络 应 用, 而 不 是 网 络 协 议 的 归 属, 因 为 在 现 有 的 网 络 安 全 协 议 框 架 下, 更 高 的 安 全 需 求 依 然 可 以 通 过 采 用 自 己 的 算 法 或 者 替 代 的 方 式 来 解 决 更 重 要 的 是, 因 特 网 的 特 点 是 资 源 共 享, 大 家 能 够 通 过 网 络 学 习 交 流, 促 进 社 会 进 步 这 也 是 网 络 存 在 的 意 义, 所 以, 只 有 保 证 网 络 便 利 畅 通, 安 全 才 有 意 义 密 码 要 敢 于 直 面 潮 流 需 求 陈 克 非 教 授 认 为, 密 码 与 新 兴 产 业 的 融 合 是 不 可 阻 挡 的 趋 势, 对 此 要 怀 有 一 个 敢 于 迎 接 挑 战 的 心 态 有 人 认 为 云 计 算 一 旦 展 开 普 及 应 用, 其 强 大 的 计 算 能 信 息 安 全 与 通 信 保 密 9

16 本 期 特 稿 Features 力 将 对 密 码 学 带 来 极 大 的 冲 击, 对 此 陈 克 非 教 授 并 不 悲 观 他 认 为, 云 庞 大 高 效 的 计 算 能 力 的 确 对 破 解 密 码 有 冲 击, 但 是 也 没 有 这 么 直 接, 因 为 云 计 算 是 一 个 逐 渐 发 展 的 过 程, 需 要 从 现 有 的 IT 架 构 中 自 然 而 然 地 过 渡 我 理 解 的 云 计 算, 是 现 有 的 计 算 技 术 如 网 格, 再 加 上 一 个 商 业 化 运 营 模 式 的 融 合 产 物 陈 克 非 教 授 强 调, 云 计 算 虽 然 从 服 务 模 式 上 发 生 了 巨 大 的 变 革, 并 给 人 们 的 生 活 带 来 很 多 方 便, 但 从 技 术 角 度 而 言, 并 没 有 革 命 性 改 变 像 云 计 算 不 能 回 避 的 云 安 全 领 域, 身 份 认 证 还 是 密 码 验 虽 然 安 全 基 础 要 求 变 高 了, 但 是 最 底 层 的 安 全 技 术, 实 质 上 并 密 码 环 境 影 响 人 才 培 养 虽 然 陈 克 非 教 授 对 自 己 的 密 码 研 究 领 域 了 然 于 胸, 但 是 在 刚 刚 进 入 密 码 领 域 之 初, 他 并 没 有 看 得 如 此 长 远 记 者 了 解 到, 陈 克 非 教 授 大 学 所 学 习 的 是 应 用 数 学 专 业, 毕 业 之 后, 本 着 对 专 业 的 兴 趣, 在 研 究 生 时, 自 然 而 然 地 选 择 了 在 西 北 电 讯 工 程 学 院 应 用 数 学 专 业 ( 编 码 方 向 ) 的 研 究 他 告 诉 记 者, 当 时 人 们 对 密 码 的 认 识 还 不 够 清 晰, 以 前 密 码 技 术 几 乎 没 有 民 间 的 应 用, 主 要 应 用 集 中 在 通 信 安 全 以 及 军 事 领 域 客 观 地 说, 从 应 用 角 度 出 发, 当 时 国 内 的 大 众 密 码 应 用 市 场 几 乎 为 零 证 安 全 协 议 这 些 技 术 在 主 导 但 云 计 我 真 正 接 触 到 密 码 的 日 常 应 用 是 出 国 以 没 有 改 变, 所 依 赖 的, 算 的 确 是 新 的 商 业 模 式, 它 意 味 着 更 多 形 后, 在 国 外 拓 宽 了 自 己 的 视 野 依 然 是 通 信 保 障 加 态 的 应 用, 更 广 的 运 用 范 围 和 服 务 模 式, 1994 年, 陈 克 非 拿 到 了 德 国 吉 森 大 带 来 的 是 一 个 全 新 的 产 业 但 由 于 没 有 现 成 的 安 全 解 决 方 案, 对 安 全 服 务 商 而 言, 最 大 的 商 机 也 在 于 此 陈 克 非 教 授 进 一 步 阐 述 道, 云 计 算 中 密 技 术 这 些 安 全 手 段 陈 克 非 教 授 学 (Justus-Liebig University Giessen) 应 用 数 学 和 密 码 专 业 博 士 学 位 正 是 这 段 经 历, 使 得 他 对 国 内 密 码 环 境 以 及 产 学 研 的 产 业 链 有 了 更 清 晰 的 认 识 最 重 要 的 应 用 之 一 是 云 存 储 过 去 重 要 的 信 息 都 是 各 自 保 管 在 自 己 的 服 务 器 中, 而 在 云 时 代, 则 变 为 代 管 的 方 式 对 企 业 来 说, 中 小 企 业 不 愿 意 自 己 招 聘 专 业 的 安 全 管 理 员 来 维 护 自 己 的 信 息 资 料, 又 没 有 足 够 的 专 业 水 平 确 保 自 己 的 信 息 安 全, 但 是 把 自 己 的 核 心 机 密 交 予 云 服 务 商 托 管, 一 旦 出 现 安 全 问 题, 那 么 影 响 将 会 是 致 命 的 对 于 云 计 算 服 务 商 而 言, 如 何 说 服 企 业 相 信 自 己 的 存 储 能 力 和 安 全 水 平, 让 他 们 心 甘 情 愿 地 将 自 己 的 核 心 数 据 交 给 服 务 商, 这 就 必 需 展 示 强 大 的 安 全 能 力 现 在 的 云 安 全 主 要 通 过 技 术 手 段 来 保 障 不 仅 仅 是 云 计 算 这 个 领 域, 其 实, 信 息 安 全 遭 遇 的 挑 战 来 自 方 方 面 面 陈 克 非 教 授 告 诉 记 者, 国 内 信 息 安 全 厂 商 经 常 遭 遇 的 不 只 是 自 身 的 技 术 实 力 问 题, 还 有 市 场 认 可 度 问 题 很 多 金 融 证 券 行 业, 由 于 不 缺 乏 资 金, 对 于 系 统 和 信 息 安 全 的 核 心 产 品 首 要 考 虑 的 就 是 国 外 品 牌, 几 乎 不 考 虑 国 内 的 产 品 这 一 现 状 固 然 有 国 外 产 品 某 方 面 的 确 领 先 的 因 素, 但 陈 克 非 教 授 认 为, 行 业 用 户 对 系 统 的 安 全 性 要 求 很 高, 国 内 信 息 安 全 企 业 需 要 的 是 积 累, 需 要 的 是 系 统 稳 定 为 前 提, 由 于 国 内 企 业 进 入 IT 领 域 较 晚, 因 此 还 需 要 时 间 去 打 拼 自 己 的 口 碑 和 实 力 此 外, 陈 克 非 教 授 还 强 调, 在 国 际 市 场 上, 虽 然 有 不 少 国 内 信 息 安 全 企 业 宣 布 已 经 走 出 去, 但 实 际 上, 真 正 的 吸 引 力 往 往 并 不 是 技 术 因 素, 而 是 价 格 因 素 在 主 导, 其 技 术 优 势 并 不 明 显 在 国 内 信 息 安 全 企 业 发 展 的 同 时, 这 一 现 状 也 必 须 要 得 到 重 视 在 之 前 记 者 接 触 到 的 密 码 业 内 人 士 中, 不 少 人 会 忧 虑 国 内 密 码 专 业 存 在 产 学 研 脱 节 的 现 象 对 此 陈 克 非 的 观 点 比 较 客 观, 他 告 诉 记 者, 国 内 外 的 大 学 的 确 在 做 学 问 方 面 存 在 不 少 差 别 国 内 的 院 校 主 要 侧 重 于 书 本 知 识 学 习, 在 学 习 完 基 础 理 论 之 后, 才 会 有 进 一 步 的 专 业 学 习, 从 时 间 上 看, 学 习 的 时 间 并 不 宽 裕 此 外, 国 内 学 校 对 学 生 的 社 会 实 践 和 动 手 能 力 的 培 养 都 较 为 欠 缺 国 外 的 学 校, 往 往 更 加 注 重 学 生 的 动 手 能 力, 他 们 会 通 过 修 学 分 的 制 度, 促 使 学 生 去 积 极 参 加 社 会 实 践 例 如 像 加 拿 大 的 滑 铁 卢 大 学 就 是 如 此, 学 生 必 须 去 实 习, 完 成 足 够 的 实 习 时 间 才 能 毕 业 这 样 一 来, 通 过 长 时 间 的 实 习 和 与 社 会 接 触, 学 生 对 实 际 应 用 非 常 了 解, 在 学 习 的 时 候, 就 能 理 解 学 校 的 理 论 知 识 在 实 际 中 发 挥 怎 样 的 作 用, 在 实 习 时, 又 能 知 道 实 际 操 作 的 项 目 需 要 学 校 的 哪 些 知 识 做 铺 垫, 一 旦 毕 业, 这 类 学 生 的 就 业 面 就 非 常 宽 广 不 仅 仅 是 校 外 实 习, 国 外 大 学 对 学 生 培 养 的 另 一 个 重 要 形 式 是 大 型 课 程 设 计 陈 克 非 教 授 透 露, 国 外 研 究 型 大 学 在 每 门 专 业 课 后 都 规 定 学 生 要 完 成 一 个 相 当 于 小 型 科 研 项 目 的 课 程 设 计 这 对 学 生 理 论 知 识 和 实 际 动 手 能 力 的 培 养 都 非 常 有 帮 助 不 同 项 目 的 训 练 有 很 大 差 别, 无 论 是 理 论 编 程 还 是 硬 件 这 样 几 个 项 目 做 下 来, 学 生 的 实 践 能 力 都 得 到 提 高, 毕 业 后 不 论 到 哪 个 企 业 工 作, 上 手 非 常 快 既 然 国 外 院 校 有 值 得 国 内 院 校 学 习 的 地 方, 为 什 么 国 内 在 培 养 密 码 人 才 时, 却 不 能 照 搬 国 外 的 这 种 套 路 呢? 陈 克 非 教 授 指 出, 国 内 院 校 实 践 起 来 的 确 有 难 度 10 信 息 安 全 与 通 信 保 密

17 本 期 特 稿 Features 一 来 国 内 院 校 的 传 统 是 重 理 论 轻 实 践, 现 有 的 学 校 管 理 制 度 也 很 难 对 学 生 培 养 实 践 环 节 上 有 过 高 要 求 ; 二 来 是 国 内 每 个 专 业 的 人 数 众 多, 对 于 动 辄 几 十 人 的 班 级, 如 何 安 排 好 课 程 实 践 项 目 实 习 也 有 难 度 乐 观 的 是, 密 码 学 研 究 受 到 越 来 越 多 的 人 关 注 陈 克 非 教 授 表 示, 过 去 院 校 中 涉 及 到 密 码 专 业 的 学 科 非 常 罕 见, 而 这 几 年, 像 信 息 安 全 密 码 专 业, 国 内 几 乎 一 半 的 院 校 都 有 涉 及 但 必 须 指 出 的 是, 虽 然 社 会 上 对 密 码 安 全 人 才 的 需 求 愈 发 强 烈, 但 是 与 其 他 热 门 专 业 相 比, 密 码 专 业 的 就 业 面 相 对 较 窄, 像 精 英 型 的 专 业 人 才, 需 求 并 不 多 这 也 导 致 很 多 信 息 安 全 专 业 的 学 生 在 就 业 时, 不 会 首 选 专 业 对 口 的 工 作 岗 位 从 另 一 个 角 度 看, 这 也 意 味 着 人 才 流 失 解 密 国 内 外 密 码 差 异 本 源 谈 及 密 码 技 术, 就 不 得 不 谈 到 国 内 密 码 技 术 与 国 外 的 渊 源 陈 克 非 教 授 坦 言, 过 去 国 内 研 究 密 码 技 术, 不 少 是 跟 着 国 外 的 潮 流 走 当 时 由 于 信 息 闭 塞, 网 络 又 不 发 达, 往 往 国 外 已 经 研 究 三 四 年 的 密 码 技 术, 才 能 被 国 内 密 码 人 士 接 触 到 这 就 导 致 了 国 内 的 密 码 学 研 究 几 乎 没 有 自 己 的 发 言 权 但 是 随 着 网 络 的 发 展, 信 息 交 流 日 益 频 繁, 现 在 国 内 的 密 码 研 究 几 乎 是 与 国 际 同 步 每 当 国 外 的 密 码 研 究 出 现 一 个 新 的 动 向, 国 内 都 可 以 很 快 知 晓, 并 通 过 与 国 内 市 场 结 合, 自 主 选 取 适 合 国 情 的 发 展 方 向 并 且, 在 一 些 算 法 领 域, 国 内 的 研 究 还 走 在 国 际 水 平 的 前 列 陈 克 非 教 授 告 诉 记 者, 虽 然 在 新 兴 事 物 上, 国 内 外 几 乎 是 同 步 发 展 的, 差 距 并 不 明 显, 但 是 国 内 外 的 一 些 信 息 安 全 发 展 还 是 存 在 诸 多 不 同 之 处 以 云 计 算 为 例, 在 国 外, 云 计 算 的 推 广 并 不 是 政 府 行 为, 而 是 一 种 商 业 行 为 有 很 多 IT 服 务 商 的 服 务 器 处 于 过 剩 状 态, 为 了 提 高 闲 置 服 务 器 的 利 用 率, 于 是 像 亚 马 逊 谷 歌 微 软 这 些 企 业 就 开 始 寻 求 提 供 新 的 服 务, 为 企 业 用 户 建 立 私 有 云 虽 然 服 务 器 是 公 司 提 供, 但 是 IT 公 司 可 以 保 障 这 些 服 务 器 使 用 都 是 独 立 运 用 独 立 存 储, 不 会 与 其 他 企 业 用 户 共 享, 如 此 一 来 其 安 全 性 就 得 到 了 保 障 这 样 的 应 用 将 可 能 比 完 全 开 放 的 公 有 云 更 快 推 广 普 及 开 与 国 外 先 有 服 务 器 再 寻 找 客 户 提 供 服 务 相 比, 国 内 的 发 展 路 线 却 有 所 不 同 陈 克 非 教 授 指 出, 国 内 也 有 大 型 的 IT 企 业, 有 很 多 的 闲 置 服 务 器, 像 腾 讯 阿 里 巴 巴 新 浪 电 信 运 营 商 等, 用 户 动 辄 千 万, 甚 至 以 亿 来 计 算, 他 们 很 有 条 件 通 过 改 造 现 有 设 备 完 善 服 务, 为 企 业 和 个 人 提 供 良 好 的 云 计 算 服 务 但 是, 有 一 点 值 得 注 意 的 是, 国 内 在 推 广 云 计 算 时, 很 多 是 政 府 行 为 在 先 对 此 陈 克 非 教 授 并 不 赞 同, 他 认 为 云 计 算 本 质 上 是 网 络 技 术 与 服 务 密 切 结 合 的 新 型 服 务 模 式, 政 府 应 该 做 的 是 建 立 公 平 有 序 的 市 场 服 务 规 则, 而 不 应 该 直 接 投 身 于 市 场 本 身 事 实 上, 政 府 领 衔 推 行 云 计 算 并 不 一 定 就 能 被 市 场 所 接 受 另 外, 国 内 现 有 的 IT 环 境 决 定 了 用 户 对 云 计 算 服 务 还 有 疑 虑, 在 安 全 问 题 没 有 基 本 解 决 之 前 公 有 云 的 普 及 应 用 目 前 并 不 是 最 好 的 时 机 除 了 新 兴 技 术 的 区 别, 国 内 外 信 息 安 全 企 业 的 市 场 行 为 也 存 在 差 异 陈 克 非 教 授 认 为, 虽 然 很 多 国 内 企 业 都 抱 怨 人 才 难 得, 但 是 国 内 企 业 很 少 思 考 一 个 问 题, 那 就 是 为 什 么 国 外 信 息 安 全 企 业 更 容 易 吸 引 人 才? 国 外 信 息 安 全 企 业 的 吸 引 力 究 竟 在 哪 儿? 国 外 企 业 给 的 优 厚 待 遇 固 然 有 吸 引 力, 但 是 发 展 机 会 也 是 人 才 考 虑 去 向 的 重 要 因 素 陈 克 非 教 授 认 为, 国 外 企 业 在 员 工 入 职 之 初, 往 往 会 有 一 段 时 间 的 培 训 期, 帮 助 员 工 学 习 知 识 和 了 解 企 业 文 化, 并 对 人 才 的 培 养 有 系 统 的 规 划 和 设 计 而 国 内 信 息 安 全 企 业 在 这 方 面 往 往 急 于 求 成, 并 不 注 重 人 才 的 培 养 和 未 来 规 划, 总 是 以 项 目 为 重 点, 当 某 个 项 目 需 要 信 息 安 全 人 才 时, 就 着 急 招 聘, 一 旦 人 才 进 入 企 业, 帮 助 其 完 成 该 项 目 后, 企 业 对 人 才 就 听 之 任 之, 不 再 看 重 这 就 使 人 才 丧 失 了 对 企 业 未 来 的 信 心 采 访 结 束 后, 记 者 感 慨 良 多, 作 为 正 处 于 蓬 勃 发 展 中 的 信 息 安 全 产 业, 密 码 的 作 用 不 容 小 觑 作 为 信 息 安 全 的 基 石, 如 何 让 密 码 产 业 链 的 各 个 环 节 都 良 性 运 作, 发 挥 更 大 的 作 用, 是 如 陈 克 非 这 样 的 专 家 学 者 们 所 思 考 的 重 点, 更 是 每 一 个 信 息 安 全 人 的 职 责 所 在 陈 克 非 教 授 简 介 :1982 年 1 月 获 得 西 北 电 讯 工 程 学 院 应 用 数 学 专 业 学 士 学 位 ;1985 年 4 月 获 得 西 北 电 讯 工 程 学 院 应 用 数 学 专 业 ( 编 码 方 向 ) 硕 士 学 位 ;1994 年 9 月 获 得 德 国 吉 森 大 学 (Justus-Liebig University Giessen) 应 用 数 学 和 密 码 专 业 博 士 学 位 现 为 上 海 交 通 大 学 计 算 机 科 学 与 工 程 系 教 授 博 士 生 导 师, 上 海 交 通 大 学 信 息 安 全 工 程 学 院 副 院 长, 中 国 密 码 学 会 常 务 理 事, 中 国 密 码 学 会 学 术 工 作 委 员 会 主 任 委 员, 软 件 学 报 计 算 机 学 报 和 IET Electronic Letters(Chinese Edition) 等 期 刊 编 委, 信 息 安 全 国 家 重 点 实 验 室 ( 中 科 院 ) 以 及 计 算 机 软 件 新 技 术 国 家 重 点 实 验 室 ( 南 京 大 学 ) 学 术 委 员 会 委 员 曾 担 任 2002 年 度 国 家 自 然 科 学 奖 评 审 委 员 会 信 息 科 学 评 审 组 评 委, 国 家 自 然 科 学 基 金 委 员 会 第 十 届 第 十 一 届 专 家 评 审 组 专 家, 第 三 届 第 四 届 上 海 市 信 息 化 专 家 委 员 会 专 家 现 主 要 研 究 方 向 为 数 据 加 密 用 户 身 份 鉴 别 数 字 签 名 安 全 协 议 证 明 网 络 和 系 统 安 全 安 全 电 子 商 务 及 应 用 密 码 等, 主 持 的 各 类 国 家 科 技 攻 关 项 目 近 20 余 项, 已 发 表 学 术 论 文 120 余 篇, 曾 多 次 获 得 省 部 级 科 技 进 步 奖,1990 年 获 国 家 自 然 科 学 奖 信 息 安 全 与 通 信 保 密 11

18 本期特稿 Features 我在云端 安全企业谈云计算 ( 续 ) 本刊记者 白 洁 [ 编者按 ] 云计算以压倒一切的气势汹涌而来 不管我们是否已经做好了准备 它的到来似乎已经成 为 IT 领域不可阻挡的潮流 2012 年第 4 期中 我刊推出 我在云端 安全企业谈云计算 的专题 采访了多家信息安全企业在面对云计算汹涌而至的浪潮中的体会 思考 以及对云计算的认识和安 全行业所即将面临的冲击 本期 我们还将继续综合各方观点 更加深入地探讨云计算部署和大型 云计算数据中心筹建给安全行业带来的机遇 挑战以及应对措施 本专题还将切实关注安全企业的 选择和现有安全产品在云计算环境下的命运 参访企业 ( 排名不分先后 ) RSA EMC 信息安全事业部首席技术专家 身份与数据保护事业部首席技术官 Sam Curry 中国软件与技术服务股份有限公司通用产品事业部副总经理 刘胜平 深圳市安盾椒图科技有限公司常务副总经理 李 科 北京海泰方圆销售中心副总经理 王 鹏 Hillstone 资深安全顾问 杜旭辉 飞天诚信科技股份有限公司产品总监 陈 达 北京明朝万达科技有限公司总裁 王志海 国都兴业信息审计系统技术 ( 北京 ) 有限公司总经理 徐亚非 广州市国迈科技有限公司副总经理 陈东雨 网神信息技术 ( 北京 ) 股份有限公司技术方案总工办总工 卢 青 深信服产品行销部技术总监 殷 浩 Blue Coat 北亚区高级产品市场经理 申 强 12 信息安全与通信保密

19 本期特稿 Features 在本次云计算专题的采访 组稿过程中 所有的参访企业都有一个相当一致的态度 那就是云计 算已经成为未来触手可见的发展趋势 代表着一种商业模式和先进技术的融合与创新 也代表着新一 代信息技术领域的变革方向 记者通过邮件采访到了美国 RSA 公司 EMC 信息安全事业部首席技术 专家 身份与数据保护事业部首席技术官 Sam Curry 先生 作为业界最先也是云计算发展主要推动力 量的企业 RSA 公司在云计算及安全方面的一些观点也能为我们提供西方的视角 Sam Curry 先生表示 云计算最重要的是 它提供了一种比传统栈更加便宜 更加灵活 更具商 业效益的替代计算栈 因此 它对政府和企业自然极具吸引力 并且随着时间的推移 采用云计算的 障碍也自然会减少 其中一个主要的障碍 ( 可以克服 但不容易 ) 就是其安全性 物理基础设施和计 算之间联系的丧失意味着安全性不再仅仅是一种继承的特性 安全性需要利用新的技术重新构建 这 也正是安全企业的机会所在 各种形式的云计算正在引发大规模的关注 并且还将继续增长 对于安 全公司 其挑战就是 帮助用户真正实现安全的云计算 ( 正如我们在做的 ) 或只是任由它变得无足轻重 而这正是我们本期想要着重探讨的内容 云计算发展给安全企业带来的是什么 2012 年安全企业之 云端 经典语录 按照成都市政府的规划 到 2015 年 成都云计 碍 很多组织把 云 控制在一定的范围内提供服务 算产业将建成云服务 基础软硬件设备生产和云终端 这个范围内对于资源的访问权限近似 这样在应用 云 产品制造三大产业集群 产业规模达到惊人的 的时候安全机制和资源服务机制保持从组织 管理 访问 亿元人民币 防护等各层面的一致性 安全问题 本身就会被弱化 云计算真能让 经济 腾云九霄吗 网神信息技术 ( 北京 ) 股份有限公司技术方 案总工办总工卢青谈云计算下的安全短板 云计算就是让计算资源像水和电一样供应 从个 人的 不可共享的方式 慢慢地转变成提供服务的方 式 这是传统产业的发展趋势 对于云计算最为通俗易懂的解释 这正是您卷起袖子并大声说 我准备好迎接新 的挑战 并解决这些问题的时刻 那些做的人会茁壮 成长 而那些不做的人将会逐渐消亡 我们生活在有 趣的时代 这需要我们着眼于未来 在我国 云计算建设发展水平仍然处于起步阶段 对于云计算质疑 RSA 安全专家对记者说 大量资源投入到跑马圈地的基础建设当中 缺少实际 应用支撑 虽然已经能感受到政府 企业对云计算模 云计算使安全问题的关注点悄悄发生了变化 云 式的认同和热衷 但是真正能够称得上是云计算应用 计算推动信息资源进一步开放 其中的开放性除了表 的还是很少 现为多个业务之间的资源共享外 还包括用户与云计 对云计算 记者总觉得有点无法触摸 对地 方政府 巨额投入还需慎重对待 算厂商之间的权限信息共享 这就给安全问题引出新 的关注重点 安全责任 除了传统安全问题 分型几何 云计算很热 在云时代下 企业用 临新的问题 户表现出 5 个层次 第一层 不知所云 第二层 人 云亦云 第三层 拨云见日 第四层 腾云驾雾 第 五层 云中漫步 您的企业属于哪个层次 新浪微博网友分型几何列出企业用户在云时 代表现出的 5 个层次 对于这样一个全球 IT 的浪潮来说 更应该谨慎 跟进分析和研究云计算环境的安全技术 安全产品和 安全与应用的结合模式 一味地将自己的产品贴上云 的标签或许能够短期吸引眼球 但是可能不久后就会 被真正汹涌的浪拍死在沙滩上 安全问题似乎没有成为采用云计算资源共享的障 专题启示之一 跟风须谨慎 盲从有风险 信息安全与通信保密 13

20 海泰方圆 王 鹏 中软 刘胜平 RSA EMC Sam Curry 椒图科技 李 科 飞天诚信 陈 达 Hillstone 杜旭辉 关键词三 云计算质疑 问题六 云计算环境给信息安全带来了不小的冲击 甚至于在业界一 直存在着对云计算发展的质疑 云计算让安全更加无法把握 RSA EMC 信息安全事业部首席技术专家 身份 北京海泰方圆销售中心副总经理王鹏 我赞成云计 与数据保护事业部首席技术官 Sam Curry 总的来说 算的发展 但也会有些担心 担心个人数据在云的环境 云计算确实使保障安全性变得更加困难 然而 对于最 下是否会泄露 因为在云的环境下 数据相当于已经公 具破坏性的趋势 我们正在迎来一个新的时代 这正是 开给云计算 云存储的企业了 可能在某些情况下这些 您卷起袖子并大声说 我准备好迎接新的挑战 并解 数据会被泄露 但我仍然赞成云计算的发展 只是觉得 决这些问题的时刻 那些做的人会茁壮成长 而那些不 云计算应适当放慢发展速度 更脚踏实地一些 在关键 做的人将会逐渐消亡 我们生活在有趣的时代 这需要 问题没有解决之前不宜发展过快 毕竟有很多问题还未 我们着眼于未来 这就是我欢迎云计算的原因 安全性 探讨清楚 有些问题还未想到 甚至有些政策仍未落实 将会满足云计算的挑战 并帮助云计算迎来新的时代 所以 应放慢脚步等一等 不这样做将会使您的公司埋没在历史的尘埃中 Hillstone 资深安全顾问杜旭辉 云计算环境给安全 中国软件与技术服务股份有限公司通用产品事业部 带来的挑战是必然的 云使网络更加扁平化 服务器内 副总经理刘胜平 冲击是正常的 云计算与分布式计算 部虚拟交换机的出现使传统网络边界更加模糊 虚拟机 的区别在哪里 一样有硬件 一样有操作系统 一样有 可迁移性的特点使静态控制策略存在很大的安全隐患 平台 一样有应用 本质上没有什么变化 只是业务变了 多租户远程接入也需要有相应的隔离手段等 但同时挑 保证业务安全的方式也随之改变 仅此而已 战也带来了更大的发展机遇 因为云计算本身并不会带 云 计 算 是 完 全 市 场 需 求 层 面 的 东 西 没 有 业 务 就 来直接的安全问题 而是让安全攻击更加容易 这对信 没 有 安 全 安 全 阻 止 不 了 云 计 算 的 发 展 安 全 的 问 题 息安全厂商而言是个机会 这也是 Hillstone 推出云数据 仅仅会减小云计算的应用场景 但这也是符合客观规 中心防火墙的一个主要原因 律 的 云 计 算 不 是 方 法 论 而 是 一 种 应 用 不 可 能 放 之四海皆准 深圳市安盾椒图科技有限公司常务副总经理李科 飞天诚信科技股份有限公司产品总监陈达 云计算 与任何新概念和技术一样 会带来新的机遇 也将创造 新的风险 不可预期的安全风险甚至会超过企业当前的 云计算都是基于虚拟化技术完成的 从之前的实体设备 安全需求 目前 云计算的安全面临的挑战主要集中在 实体网络 转变为虚拟载体 传统产品部署已经存在局 技术 管理和法律风险 3 个层面 具体来说 有以下几 限性 防火墙 IDS 网络审计等实体产品无法在虚拟 个方面 环境中部署 因此 传统方案的产品形态在与云结合的时候面临 巨大挑战 由于云的庞大和开放 安全风险的来源也同 样被扩大 从前的边界防御在云的环境下变得没有意义 因为边界已经模糊 但这并不代表云就不能实现安全 个人认为云计算的发展是必然的 14 信息安全与通信保密 1) 数据高度集中 聚集的用户信息 应用和数据资 源更方便黑客发动集中攻击 事故一旦发生 影响范围 广 后果严重 2) 云计算的系统规模较大 一旦发生故障 如何快 速 准确地查找到问题并解决问题 将面临巨大的挑战 3) 云计算的开放性对接口的安全性提出新的要求

21 国都兴业 徐亚非 明朝万达 王志海 网神 卢 青 国迈科技 陈东雨 4) 基于云的业务模式 给数据安全的保护提出了更 高的要求 5) 传统基于物理安全边界的防护机制在云计算的环 境难以得到有效的应用 Blue Coat 申 强 深信服 殷 浩 是通过共享更多的资源来交换更高的效率以及更低的成 本 但是另一方面 我们也应该看到 安全风险因为云 计算变得更高 挑战不仅仅是功能堆叠或者性能提升这 般简单 更严重的问题在于 现有信息安全产品或解决 6) 云计算面临的管理方面的挑战主要包括管理权的 方案在云中很可能根本 不知道 该保护什么 即便知 挑战 企业和服务提供商之间在安全方面共识的挑战 道保护对象 如何从离散的信息中完整地识别出安全特 协同和管理上的挑战 监管方面的挑战等 征也是安全产品必须首先解决的关键问题之一 总之 7) 法律风险方面的挑战 云计算安全方面还应注意 技术问题以外的一些问题 例如隐私权 数字版权 实 名制 监管等问题 云计算虽然尚有一些不足以让人满意的地方 但是 云计算确实增大了信息安全保护的难度系数 其次 云计算使安全问题的关注点悄悄发生了变化 云计算推动信息资源进一步开放 其中的开放性除了表 现为多个业务之间的资源共享外 还包括用户与云计算 我们必须对这一新兴的技术抱有信心 云计算的发展前 厂商之间的权限信息共享 这就给安全问题引出新的关 景非常大 我们应该支持云计算的发展 注重点 安全责任 但就现状而言 确实难以提出有 北京明朝万达科技有限公司总裁王志海 云计算大 效的安全防范或阻断方案 毕竟云计算环境下业务对于 范围部署将是对 IT 资源的高效利用 也将是减轻 IT 运 资源的依赖关系错综复杂 不是说切断网络连接或者文 维成本的有效措施 这个趋势不可抵挡 作为信息安全 件隔离或者关机重启就可以解决的 一刀切的方法可能 专家和信息安全产业界 只有从技术和产品上积极创新 引起更多连锁反应 解决云计算带来的新信息安全问题 才会有发展空间 否定和消极地对待云计算是没有出路的 点评 诚如海泰方圆的发言人所希望的那样 安全 国都兴业信息审计系统技术 ( 北京 ) 有限公司总经 总希望云计算发展的脚步能够等一等 从目前的发展来 理徐亚非 中国有句老话 高处不胜寒 何况是身处虚 看 云计算在一定范围内建立和应用 是可以结合安全 无缥缈 不着边际的云端 我个人认为安全与云计算的 控制加以使用 但站在国家重要信息系统的角度 云计 关系应辩证看待 算的发展要相对慎重 不过 安全不能因为 更加困难 首 先 安 全 更 加 困 难 不 全 是 云 计 算 的 错 云 计算技术本身与安全问题不存在必然的联系 其只不过 而停步不前 相反 更应该提供更好的技术 更先进的 产品去推动云计算的发展 问题七 云计算究竟面临哪些方面的质疑之声 RSA EMC 信息安全事业部首席技术专家 身份 据在哪儿 你是如何保护数据安全等问题 当然 如何 与数据保护事业部首席技术官 Sam Curry 主要对云计 保证数据在云中的安全和移动 不仅是技术问题 也需 算的疑虑是在数据的安全方面 随着芯片存储设备性能 要跨国和行业的协同与标准的制定 的快速提高 网络速度的提升和大量移动设备的接入 深圳市安盾椒图科技有限公司常务副总经理李科 产生了海量的数据 这些数据在私有云中大家都不会担 云的安全瓶颈也就是需要解决信任危机 在没有技术的 心 而公有云或享有云服务时 客户有理由提出我的数 保障下 云环境下的信任是十分有限的 对于一个国家 信息安全与通信保密 15

22 本期特稿 Features 云链接 来说 全民的隐私数据是重要的核心机密 目前 对于云计算的质疑主要集中在云 在目前的环境下 风险大于收益 因此这个 计算的安全性 稳定性 数据隐私 监管等 现象是正常的 问题上 云 计 算 在 数 据 存 储 只有在强有力的技术保障体系之下 环 方面的安全性欠缺引 境变得相对安全可信 这种瓶颈才能够得以 云计算的安全问题一直是大家非常重视 发各国对其发展进行 突破 过早地去信任新技术和排斥新技术都 和关注的问题 一项由 名 ( 其中有 350 约束 ( 来源 互联网 ) 不是解决问题的根本 我们真正需要做的是 名澳大利亚人 )IT 管理者参与的研究透露 德国有一项长期 寻找到安全和高可用的平衡点 这仅仅是云 安全性仍是企业云计算应用过程中最担心的 发展之安全瓶颈的一个缩影 问题 目前 仍有很多人对云计算的安全性 的 规 定 从 它 的 公 民 (1) 云安全问题解决了吗 那里收集的数据必须 中国软件与技术服务股份有限公司通用 保 留 在 德 国 境 内 从 产品事业部副总经理刘胜平 法律层面上的 而使在德国的跨国公 要求对云计算的存储提出新的要求 如一些 (2) 云网络稳定吗 司的工作更加复杂 公民的数据不能放在服务器上等 但这仅仅 云服务需要依靠互联网的大力支持 网 能看作是一种要求 在技术层面上是完全可 络的好坏直接影响着用户的使用情况 相对 以解决的 没有任何问题 于发达国家的高速网络 中国的网络速度一 加 拿 大 规 定 由 于 美国爱国者法案 抱有质疑的态度 而这种质疑也一直是阻碍 云计算进一步发展和普及的最大障碍 允 许 潜 在 的 调 查 加 对云计算最大的质疑还是来自成本和运 直被人所诟病 网络宽带太小 网络速度 拿大公民的健康医疗 行维护方面 云计算并不意味着造价低廉 不稳定 电信行业的垄断 虽然近几年国内 数据不能存储在美国 应用方便 相反 也许比分布式的计算成本 的网速有所提升 但是相比发达国家 仍然 的服务器上 更高 举个例子 法拉利跑车在北京三环上 存在着一定的差距 法国由于担心公 未必比夏利快就是这个道理 全世界一个云 云网络稳定性能否满足云服务的需求 民的隐私问题也禁止 中心是不可能的 但几十亿个中心与分布计 是否会影响云计算进一步发展和普及 也是 数据流到国外 算的差距又在哪里呢 人们质疑的问题之一 欧洲的一些立法 北京海泰方圆销售中心副总经理王鹏 者制定一些法规禁止 现在国家层面对云计算的一些担心 归根结 非欧洲的云计算公司 底都是担心数据的泄露和外流 随着网络和 企业一直担心云安全的问题 特别是对 在欧洲提供云服务 交际平台 ( 如微博和 MSN) 的发展 数据的 于存储在云端的数据的安全和隐私等问题 (3) 云计算涉及到的数据安全和隐私是 否有法规可以遵守 荷 兰 个 人 数 据 外流及隐私的泄露现在已经非常严重 而这 目前 各方对云安全仍然没有统一的标准 保护法案 22(B) 条款 种云环境恰恰又为其提供了更好的平台 当 且尚未有关于云安全的法规出台 云计算涉 有 同 美 国 爱 国 者 法 数据集中出现大规模泄露时 就不只是泄露 及到的数据安全和隐私 是否会有专门的法 案 类似的规定 一个人的 可能有无数的用户甚至有可能涉 规进行保护 也成为人们普遍关注的问题 同 样 英 国 调 及到国家安全层面的数据泄露 到时会面临 北京明朝万达科技有限公司总裁王志 查 权 限 规 范 法 案 第 国家层面的安全问题 所以我个人认为存在 海 数据保密性缺乏带来的个人隐私和数据 5 款也有类似的规定 这种质疑是很正常的 安全问题无疑是目前云计算受到的最大质 德国联邦数据保 因此 国家应针对云计算和云存储尽快 疑 但相信随着相关研究的进展 这个问题 护法第 28(8) 条也有这 出台相关政策或法律法规 来规避这种情况 会逐步解决 此外 目前也有相当多的质疑 样的规定 的发生 现在已有很多国外企业在大范围应 集中在云计算的具体投入和建设上 挂羊 用云计算或云存储的产品 但是针对这些应 头卖狗肉 浪费国家资源甚至变相搞房地 用 并没有相应的政策和法律法规 因此 产的情况时有发生 这个问题处理不好 可 针对这种情况国家应投入更多的精力 人力 能会对云计算发展造成严重的负面影响 来研究讨论 16 飞天诚信科技股份有限公司产品总监陈 点评 每个国家都有自己的实际情况 达 云计算是作为互联网技术的一个新的衍 我国目前从政策 法规 民众要求等各方面 生物而出现的 任何一个新技术 新概念的 还没有对云计算的发展有太多的约束 但真 诞生 总是伴随着许多的浮躁和疑虑 忐忑 正的安全不能只靠技术手段来实现 还需要 与担忧 这已是一个常态 国家 企业 个人一起努力 信息安全与通信保密

23 本期特稿 Features 关键词四 机遇和挑战 问题八 对于全世界来说 云计算都是一个新的机遇 很多人也理解为是信息安 全厂商的一个新的起跑线 您对此怎么看 如何看待云计算给信息安全带来的新 机遇和发展空间问题 RSA EMC 信 息 安 全事业部首席技术专家 身份与数据保护事业部首 席 技 术 官 Sam Curry 云计算确实是信息安全的 计算不是技术的革命 而是商 业 模 式 上 的 创 新 它 改 变 的 是整个 IT 市场的格局 即所有的 IT 供应商都将以 服务 的形式 来承载自己的价值 计算模式的改变对于安 全都是新的挑战与机遇 为 什 么 这 么 说 原 因 是 安 全 的 两 个 定 律 没 有绝对的安全 以及安全 一个新起点 我们必须重 为业务服务 云计算的发 新思考传统基础设施中的 展为安全提出新的挑战 一些基本设想 我们必须考虑 以硬件为基础 面对这些挑战 谁准备得充分 谁就可能成为 的可信任根 以及数据的状态 效用度 熵隐 领跑者 但是云计算不是百米短跑 有可能是 私度 等等 这是一个更加复杂的技术和业务 个漫长的过程 在这个过程中不断地发展壮大 环境 但我们也有能力集中资源装备新的事物 成熟才能跑完全程 并突破一台计算机上一个工作负载的限制 这 Hillstone 资深安全顾问杜旭辉 我不认为 是一个伟大的时刻 我们需要重新思考安全性 云计算是信息安全厂商的一个新的起跑线 但 改变由来已久的 在墨守成规的传统 IT 环境中 存在挑战 云计算不是技术的革命 而是商业 从来没有克服典型安全问题的无奈 模式上的创新 它改变的是整个 IT 市场格局 北京海泰方圆销售中心副总经理王鹏 云 即所有的 IT 供应商都将以 服务 的形式来承 计算对于所有的信息安全企业都是一个挑战 载自己的价值 在云计算环境下 传统的威胁 它是我们完全没有接触过的一个全新的领域 依然存在 仅仅是利用云计算的特点 造成破 与基于用户层面的信息安全有可能是两个概念 坏的概率会更高 信息安全厂商需要考虑如何 比如现在的身份认证系统 PKI 体系等在云计 在产品形态和部署模式上进行变革 使之更适 算当中是否还有其价值 其本身的应用理论 应云计算环境 但在核心检测技术上 云计算 平台体系对于安全性是没有问题的 但是如果 并没有本质的差别 将它应用在云计算上面 其理念及相关产品的 飞天诚信科技股份有限公司产品总监陈达 性能是否能符合云计算的模式 这都是一个未 IT 产业在经历了云计算是安全的灾难 还是安 知数 没有太多的企业做过相关的实践 全机遇的彷徨之后 意见逐渐趋同 目前普遍 当然 云计算也带来了很多的机遇 可以说 的共识是云计算为信息安全技术的创新和发展 在云计算中抓住某一点 有可能为今后带来很 提供了新的机遇 在云计算还未像今天如此火 大的发展 但这个点也确实不好抓取 个人理解 爆的时候 信息安全厂商已经开始借助云计算 现在整套的密码体系在云计算当中都会面临全 的概念 对自身的技术和产品架构的可信 规 新的模式 面临新的挑战 在不久后 有可能 模 积累 服务模式等进行了全面的思考 使 衍生出针对云计算的新密码算法或新密码体系 云安全成为了信息安全厂商展现自身安全技术 应运而生一些新的内容 其发展空间很大 安全架构领先性的舞台 云计算会是未来的发展方向 包括移动方 虽然云计算的安全性目前依然是企业跨入 面的应用 随着移动应用越来越快的发展 甚 云计算环境的首要担忧问题之一 但是云计算 至包括无线网络的飞速发展 从另一个层面间 将给信息安全厂商带来的新机遇和发展空间 接推动了云计算的发展 因为云计算在很多方 已经是 IT 产业和信息安全厂商的共识 云计算 面与移动应用和无线网络发展有很大的关系 是一个迅速变化的领域 它为信息安全厂商划 中国软件与技术服务股份有限公司通用产 定了一个新的起跑线 要么保持在最前沿 要 品事业部副总经理刘胜平 任何网络模式或者 么落后 对于信息安全厂商来说 要牢牢抓住 信息安全与通信保密 17

24 本期特稿 Features 云计算带来的机遇 通过持续并快速地改变思维 优化 防病毒技术 流程 优化架构 找寻方法 变革技术 迁移到云计算 2) 云计算数据中心内部的安全新问题 比如一台 的过程 为信息安全厂商提供了新的契机来重新审视和 物理虚拟机内部之间的安全控制 采用传统的 FW 等硬 谋划现有的基础设施 应用等与业务的关联性 帮助信 件设备无法解决 这就提出了新挑战 在这方面深信服 息安全厂商全面提升自己的技术 服务能力和水平 已经做好了相关的技术储备 比如可以将 NGAF SSL 网神信息技术 ( 北京 ) 股份有限公司技术方案总工 办总工卢青 云计算确实给安全带来了很多的挑战 无 VPN 等产品形成虚拟化的方案 直接部署到虚拟机上 解决虚拟机内部的安全问题 论是基于基础设施的服务 基于平台的服务还是基于软 北京明朝万达科技有限公司总裁王志海 云计算确 件的服务 这些过程都给安全提出了新的安全风险分析 实是一个新机遇 信息安全问题又是云计算发展的关键 场景 但与此同时 也给安全厂商提供了一些新思路 问题 信息安全厂商如果能够抓住机会 解决其中的数 安全本身也可以采用这种模式建立新的商业模式 降低 据保密性等关键信息安全问题 并根据云计算架构变化 很多中小企业的安全投入规模 直接使用安全服务 这 推动产品线的变革 将会有很大的发展空间 但是也要 会成为安全产业本身的一个发展趋势 看到 云计算是一种高度集中和集成化的 IT 架构 云计 深圳市安盾椒图科技有限公司常务副总经理李科 算系统厂商本身将在解决信息安全问题上有更加得天独 云发展的最大限制就是安全问题 相对而言 传统操作 厚的优势 信息安全厂商要进入云计算安全的核心领域 系统出现安全问题只会对单机造成影响 而云操作系统 可能会存在更多的障碍 这也可能会对信息安全产业的 出现安全问题则会对基础平台上运行的全部虚拟机造成 发展造成负面的影响 影响 损失无法估量 但 限制 和 本质 是有区别的 所谓的 不可能 是因为限制 而不是本质 广州市国迈科技有限公司副总经理陈东雨 云计算 对信息安全提出了很多全新的要求 不少传统的信息安 从技术上说 我们现在的安全云解决方案就解决了 全技术在云计算模式下面临被边缘化的风险 随着国家 IaaS 层面的基础安全问题 即操作系统安全 通过保障 关于云计算标准框架的出台 配套的等保要求也会逐步 IaaS 层基础架构的安全 构建安全云 使用户能够在云中 产生和完善 信息安全厂商应当抓住这样的机遇 面对 放心应用和存储 那么向上层延展 会延伸出很多新的应 这一挑战 调整技术方向和产品结构 在这个调整过程 用安全问题 安全并非是一个状态 因为状态是有时间属 中 步伐缓慢 技术实力不足的厂商可能会被淘汰 性的 时间属性变化了 状态就可能改变 而安全是一个 国都兴业信息审计系统技术 ( 北京 ) 有限公司总经理 动态的过程 在过程中不断解决问题 调整不同时间属性 徐亚非 自 2010 年起 云计算在 IT 市场热度空前 甚至 的相同状态 这就是在突破限制 在解决云的安全问题 有言论将其称为第四次 IT 产业革命 云计算提高资源使 信息安全行业的传统解决方案中有很大一部分产品 用率 具有近似无限的计算和存储能力 支持弹性扩展 形态是设备 对于硬件来说 面对虚拟化的大型网络 和按需付费等优势 这些无一不吸引用户对这种 新 已经无缝插针 而对软件形态来说 与业务的兼容性又 技术产生兴趣 相比其他国家 我们必须承认 国内的 存在风险 信息安全厂商在面对云计算的形态时 需要 信息安全技术以及产品市场的发展状况比较落后 究其 重新思考如何与云结合 谁先有效转化 谁就能占领市 原因 除了我国相关技术研究起步晚等先天不足之外 场先机 起跑线的说法我认同 还包括我国信息安全保护相关的法规制度建设不完善 目 前 云 安 全 风 险 并 未 完 全 暴 露 出 来 针 对 云 安 全 以及国内用户信息安全意识普遍不足等多方面因素 所 的理解也仅仅是传统安全风险的转化 那么 传统的解 以要想安全地使用云计算就要找到一个安全方案 一旦 决方案如何向云的方向转变 如何为云特性提供更为行 发生安全事故能够有效明确安全责任 避免承受莫须有 之有效的安全解决方案 如何应对将来新形式的攻击形 的责任 对于云计算厂商而言 其意义不言自明 态 我相信机遇和发展空间都是空前的 深信服产品行销部技术总监殷浩 对于厂商来说 点评 过去很多安全问题都集中在内网 但现在云 机会与风险并存 产品存在比较大的技术升级换代空间 山雾罩 需要更多地开放和交互 面临更多的信息传输 小厂商如果无法及时跟进一些标准的制定 技术的创新 必然会在身份认证 安全传输 安全存储 安全分发等 很容易被大浪淘沙 而一些技术储备较深厚的公司 很容 方面带来很多发展空间和机遇 很多传统的安全防护思 易通过新技术实现 鲤鱼跃龙门 改变市场格局 比如 路会随着云计算信息系统体系结构和应用的变化需要做 1) 通过云的架构引入到安全产品的设计思路中 将 出调整和改变 云计算体系复杂 要解决的问题更多 会提升安全产品的反映速度 实现技术创新 如 360 的 18 信息安全与通信保密 因而对安全而言 发展空间会更多

25 本期特稿 Features 问题九 信息安全哪些技术 产品最适用于云的环境 哪些会逐渐衰落 RSA EMC 信 息 安 全 事 业 部 首 席 技 术 专 法再适应云的环境 终 端 以 计 算 机 设 备 移 动 设 备 为 主 因 此 基 于 计 算 机 设备 移动设备的信息安全技术 将会成为未来云安全技术的一个 重要的发展趋势 家 身 份 与 数 据 保 护 事 业 部 首 席 技 术 官 Sam 中国软件与技 Curry 给云环境增加最大价值的最合适的产品 术服务股份有限公 是那些围绕身份 ( 包括机器身份 ) 数据以及包 司通用产品事业部 括监控 异常检测和调查工具在内的通用管理 副 总 经 理 刘 胜 平 和协调的产品 它最终与人员 ( 好人和坏人 ) 信息安全总体上的 数据以及监控那些帮助实现此目的的系统的机 方法论是不会衰落 密性 完整性和可用性有关 诸如传统的防火 的 不管是什么环境 不管是什么模式 都不 墙 ( 现在主要是路由器 ) 和防病毒等过时的产品 会过时 但到了具体的安全产品 从系统安全 是已经落后的失效技术 随着我们解决更多的 物理安全 网络安全 应用安全会有一些调整 围绕着人员 数据和安全性管理的基本问题 这是对云业务的符合性调整 从长时间轴来看 其相关性将会急剧下降 没有一种技术会一劳永逸地确保安全 飞天诚信科技股份有限公司产品总监陈达 北京海泰方圆销售中心副总经理王鹏 就 云计算是一种崭新的服务模式 它影响着传统 以上问题 我个人还未找到准确的答案 云计 的信息安全领域 算和云存储等方面如何应用现有的信息安全技 传统的信息安全问题 是传统信息系统共 术 其本身就是一个问题和挑战 哪些产品能 有的问题 在云计算中仍然存在 传统的信息 适用云环境 哪些又会衰落 目前还未有准确 安全技术仍可以运用于云环境中 如 云计算 的观点及说法 云环境下面临着很多问题 其 服务提供商需要采用防火墙保证不被非法访问 中最大的问题就是用户数据的集中存储 计算 使用杀病毒软件保证其内部的机器不被感染 也会有集中计算 这样数据安全方面的保密以 用入侵检测和防御设备防止黑客的入侵 用户 及用户身份的鉴别将会显得尤为重要 在云环 采用数据加密 文件内容过滤等防止敏感数据 境下 加解密技术及身份认证的技术会有很大 存放在相对不安全的云里等 云计算的特点又 的发展 如 USBKey 安全电子文件系统 安全 提出了新的信息安全问题 在云环境下保证信 文件传输系统 安全加固中间件等较现在都会 息存储的安全和传输安全显得尤为重要 所以 有一个飞跃 而对于防火墙 防病毒等产品 必须要有更好的技术 保障体系 安全技术来 在云的环境下有可能弱化部分功能或应用价值 支撑云计算的环境 在保障云环境的安全性的 北京明朝万达科技有限公司总裁王志海 同时 云终端的可信性也逐渐成为云安全需要 从云计算的架构和运营模式分析 网络防护的 关注的问题 信息安全产品如防火墙 VPN 和防入侵攻击等 可信技术包括身份认证技术 论证技术 产品最适用于云计算 身份认证 数据加密和 可信终端设备技术等 云终端以计算机设备 授权管理等产品经过改造后也将适用于云环境 移动设备为主 因此 基于计算机设备 移动 终端杀毒和终端管理等终端防护产品或许将在 设备的信息安全技术 将会成为未来云安全技 云环境中逐渐失去机会 术的一个重要的发展趋势 深圳市安盾椒图科技有限公司常务副总经 点评 云计算是整个计算与存储模式的巨 理李科 从技术来讲 主流技术并不会因为云 大改变 也意味着传统的安全手段和技术可能 而过时 更多暴露出来的是产品与云的结合形 会衰落 比如传统的桌面安全产品会因为大量 式 比如硬件防火墙在虚拟化技术面前 已经 虚拟化应用模式的采用变得日渐式微 但安全 没有部署的余地 但是转换成软件形态 作用 认证 权限管理 加密解密 内网安全等技术 于主机上 则技术依然可以是传统技术 ( 包过滤 在云计算环境内具有更加重要的地位 不过我 状态检测 应用代理等 ) 只是形态和作用范围 们无法与历史决然割裂 传统的基础设施安全 发生了本质变化 虚拟化技术将导致硬件形态 防护 平台安全防护仍会存在 基于云环境中 逐渐衰落 与主机耦合度低的安全产品形态无 的应用安全 数据安全等仍会是未来发展方向 信息安全与通信保密 19

26 本期特稿 Features 关键词五 未来 问题十 站在个人的角度怎样看待云计算和未来的发展 以及对信息安全的影响 RSA EMC 信息安全事业部首席技术专家 身份 会随之暴露 市场在理性评估后会有自己的选择 安全 与数据保护事业部首席技术官 Sam Curry 我们生活在 在云计算的发展过程中起到了至关重要的作用 安全问 超级大国和全球性的经济之中 社会是建立在信任基础 题的妥善解决会大力推动云计算的应用场景 可以说 之上的 就如我们在本地零售商店和旧有世界的基础设 安全问题会成为云计算发展至关重要的一个因素 施之中所享受到的 我们在那些互联网上并不知晓的全 北 京 海 泰 方 圆 销 售 中 心 副 总 经 理 王 鹏 云 计 算 对 球供应链和合作伙伴之中也需要相同程度的确定性 这 未来以及对信息安全的发展很有可能将产生决定性的影 需要时间和成功以不断地推动发展 响 甚至有可能会造成业界的重新洗牌 将会为信息安 信任是云必须要赢取的关键要素 就像它在任何商 全界带来全新的挑战 甚至是前所未有的大发展 因为 业基础设施中的一样 我们在任何基础设施之中都不可 在非云时代人们可能不太重视信息安全问题 包括传输 能有 100 的安全性 不管是本地的 托管的还是云的 安全 存储安全以及个人身份安全 但是在云环境下对 但是 我们需要尽可能地接近 100 ( 同时意识到这是 于安全的需求是最迫切的 也是最强烈的 随着云计算 一个可望而不可及的目标 ) 以获取信任 解决任何云环 的发展 对安全的理解会产生重大的转变 对现有的安 境中的 安全问题 是不可能的 医生也无法让我们不朽 全产品及设备是一个重大的挑战 甚至发展模式和应用 但我们仍会去找他们 同样 安全性增加了价值 而它 模式会有非常大的变化 如现有的身份认证体系是基于 不必是 100 安全的 因此 我赞同我们无法解决云计 证书的认证体系 但是云计算 云应用发展以后基于证 算或任何环境中的 安全问题 的观点 但我们可以在 书的认证体系就不一定再适用 安全性方面作出改进 Blue Coat 北亚区高级产品市场经理申强 无论是 飞天诚信科技股份有限公司产品总监陈达 未来 中国的云计算将会结合战略性新兴产业抢占先机 将云 传统数据中心还是云计算 都是为了支持信息系统高效 计算与下一代移动通信 物联网等新兴产业和两化融合 可靠地运行 同时 必须保证数据的私密性和完整性 三网融合等新应用结合推进 通过示范工程加速推进云 由于公有云安全尚无统一的标准 企业 IT 部门也没 计算的行业应用 在积极争取国家产业政策扶持的同时 有足够经验对公有云进行风险评估 所以众多企业对云 鼓励云技术创新 应用模式探索 以云应用服务作为云 的使用采取了更务实的演进路线 一方面 在成熟 低 计算产业发展的切入点 支持企业 科研院所等开展云 风险的应用上使用公有云服务 典型的应用包括企业邮 计算应用模式 服务模式研究 分析云计算应用对系统 箱 ( 例如 Google 企业邮箱 ) 在线会议系统 ( 例如 Cisco 设备 网络等资源的需求 指导企业 行业用户对现有 Webex) 在线协同软件 ( 例如微软 BPOS/Office 365) 个 信息化基础设施的改进和扩建 云计算作为一种新兴的 人计算机在线备份 等等 对这类应用 企业已经有充 计算模式 在利益链的驱动下将会在多个领域扩大研发 分的自信和安全感来使用公有云服务 而对于关键应用 同时 高校和科研机构也为云计算的理论和技术起到了 很多企业倾向于仍然把数据存放在企业内部 但是云计 很好的支撑作用 算带来的灵活性和成本效益的吸引力日益增强 这也正 云计算改变了服务方式 但并没有颠覆传统的安全 是私有云 它既把数据留在企业内 又享受到云计算 模式 所不同的是 在云计算时代 安全设备和安全措 的优势 受到企业欢迎的重要原因 Blue Coat 认为 施的部署位置有所不同 安全责任的主体发生了变化 在今后的 12 个月内 将有更多的企业 IT 系统转变为 传 原来 用户自己要保证服务的安全性 现在由云计算服 统数据中心 + 公有云 IT 服务 + 私有云关键应用 的混合 务提供商来保证服务提供的安全性 传统的信息安全问 模式 而且这种共存与平缓演进将长期存在 题在云计算中仍然存在 而云计算的特点又提出了新的 中国软件与技术服务股份有限公司通用产品事业部 信息安全问题 比如云上数据存储 隔离 冗余 销毁 副总经理刘胜平 云计算是一种模式 为计算与存储资 等特点提出了新的数据安全问题 云上分布计算特点提 源优化提供了新的思路 在未来的发展道路上 为所有 出了新的计算安全问题 云计算快速伸缩特点提出了新 的人提供了一个解决网络运算以及存储问题的新方法 的综合安全问题 此外 还有云计算安全信任体系 ( 身 云计算在不同领域的应用还在不断完善中 在互联网上 份认证 访问控制 取证 ) 问题 云计算监管监控 ( 网 应用会非常广泛 但随着应用的不断拓展 各种问题也 络行为监管监控 内容监管监控 ) 问题等 云计算是一 20 信息安全与通信保密