邬江兴：网络空间内生安全共性问题及拟态防御

由中国信息协会主办，中国信息化网、信息化观察网共同承办的“2020第五届中国网络信息安全云上峰会”于7月10日通过线上正式召开。“中国网络信息安全峰会”至今成功举办了五届，已成为中国网络信息安全行业发展的风向标，中国信息协会将继续夯实“网络信息安全峰会”这个专业、开放的交流平台，为政企学研之间搭建沟通桥梁，努力开创网络安全和信息化工作新局面，为网络强国战略贡献绵薄之力。

中国工程院院士邬江兴出席峰会并做主题报告，以题为《网络空间内生安全共性问题及拟态防御》为题。以下内容根据邬江兴院士演讲整理，未经本人审阅。

一

     内生安全问题哲学思考      

邬江兴院士首先从内生安全的哲学思考讲起，“从一般意义上说，任何自然的功能或人造的功能，都存在伴生或者衍生的显式的副作用或者隐式的暗功能。副作用可能是良性的，也可能是不良的，但暗功能的性状及影响则完全是未知的，内生安全问题就是元功能或本征功能的内在性矛盾。”得出一个结论，任何事物总存在利与弊的两面性，有弊的东西就会成为内生安全的问题，利与弊是一枚硬币的两面，只能趋利避害，不可能彻底地消除！接下来，邬院士通过具体的使用场景向我们展示了内生安全问题的展现形式，避免出现对内生安全认识不清的问题。

以大数据为例，它的内生安全问题是不可解释性。大数据的发现处于“只知其然不知所以然”的状态，一旦数据或算法被污染，结论可能是大相径庭的，盲目相信可能会带来灾难性后果。

以人工智能为例，它的现阶段内生安全问题是不可解释性与不具推理性。人工智能1.0阶段前行动力主要依赖三种力量：大数据、大算力、深度学习算法，但是，结果不具有可解释性和可推理性。

以区块链为例，区块链的算法实现离不开现有的COTS级软硬件系统，因此凡是区块链系统用到的COTS级软硬件之内生安全问题，同时也是区块链技术的内生安全问题。

以信息通信网络为例，基于共享资源体制的网络通信技术不可避免的存在协议安全、传输安全、信息安全、拥塞控制等内生安全问题，绝大多数网络攻击都要借助或利用这些内生安全问题才能实施。

以云服务平台为例，在云服务系统中，应用软件、服务器软硬件资源、运行环境中存在漏洞后门，攻击者劫持用户服务；文件存储系统中存在的漏洞后门，攻击者窃取或破坏敏感数据信息；虚拟层存在漏洞后门，攻击者攻击提权后，攻击其它虚拟机，实现威胁能力扩张。云平台的内生安全问题直接关系到信息基础设施服务的可信性，严重威胁国家“新基建”战略的“安全底座”。

以数据中心为例，智能化时代需要安全性可量化设计与验证的信息基础设施。          

以5G网络架构为例，5G的云化网络架构更加开放，服务的集约化提供程度更高，2C&2B&2M使接入环境更加复杂，国家化的产业链形成的软硬构件安全质量几乎无法掌控，将面临全所未有的内生安全问题和大量未知安全威胁与挑战。

二

      内生安全之共性问题        

内生安全之共性问题

网络空间内生安全之共性问题体现在：

1、软硬件部件设计缺陷导致的安全漏洞不可避免。因为人类技术发展和认知水平的阶段性特征，导致漏洞问题不可能彻底避免，这个与是否拥有自主知识产权和国产化程度弱相关或无关。

2、信息产品生态圈中存在的软硬件后门无法杜绝。全球化时代，开放式产业生态环境开源技术模式和“你中有我、我中有你”的产业链，软硬件后门问题不可能完全杜绝，如果不能掌控整个生态圈或全产业链，即使拥有自主知识产权也不可能彻底根除问题。

3、现阶段人类科技能力尚不能彻查漏洞后门问题。就普遍性而言，穷尽或彻查目标系统软硬件代码问题，在可以预见的将来，仍然是难以克服的科学挑战，不能也不可能构建一个“无毒无菌”绝对安全的理想场景。

4、信息产品安全质量尚无有效的控制办法。一个信息系统或控制装置中可能有成千上万的软硬件部件或构件，只要存在一个高危漏洞或设计一个后门或无意导入一个中间件的陷门，就可能导致整个系统的服务不可信或功能丧失。

因为网络空间广泛存在内生安全问题及其共性因素，攻击者只要能建立起可靠的攻击链，外因就能通过内因构成已知或者未知的安全威胁。

（一）信息系统或控制装置安全性不能确保之殇

邬院士认为，一般而言，信息系统或控制装置除传统安全外的安全性，迄今为止，无法给出可量化的设计指标与可验证度量的测评方法。也就是说，“安全性无法量化”是世界难题，因而软硬件产品安全质量就无从控制，漏洞后门、病毒木马可从源头污染网络空间。从芯片到软件再到各类智能终端、数据中心、敏感信息系统、人工智能平台、遇到的共性问题是“信息系统或软硬件设施、工业控制平台或网络、IOT系统漏洞后门危害如何评估、服务可信性如何保证、内生安全共性问题如何管控？”这些问题在我们现在的问题里面暂时还没有答案。美国政府问责GAO，2018年10月一份报告中发现“几乎所有正在研发的导弹、飞机、舰船和装备都很容易受到网络攻击，以往开发的绝大部分精确制导武器和控制平台都很脆弱。”即使是杀毒灭马、封门补漏、加密认证或防火墙等附加型安全防护设施自身的可信性能能否保证？世界上尚没有任何科研单位或企业可以面对这个问题。

（二）网络空间内生安全问题的内涵

内生安全问题狭义概念是指：“一个软硬件构造或算法除本征或元功能之外总存在属于内因的显式副作用或隐式暗功能，不明副作用或暗功能很可能成为内生安全问题。”内生安全问题广义上是指“除了狭义内生安全问题之外，包括凡是所有未向系统使用者明确声明过的软硬件设计功能，例如前门、后门、陷门等”。广义不确定扰动指的是内因需通过外因起作用。广义内生安全问题是内因，基于人为或自然因素的广义不确定扰动是外因，两者结合才能构成安全威胁。凡是广义不确定扰动引发的目标系统或关联设备内生安全问题可能产生的危害，称为“广义不确定安全威胁”。内生安全问题是自在性矛盾，内生安全共性问题泛在化存在。

内生安全问题里面有个最大的问题是unknow²威胁，在国际上被称为“Unknow Unknow”（未知的未知安全威胁）。表现在攻击者，可以单向透明里应外合协同攻击，防御者因为“没有先兆和行为特征”无法有效应对。邬院士为我们分析了现有安全防御的逻辑悖论，认为现有的安全模式存在两种问题：第一，被发现的隐式功能，相对未发现的，仍属于小概率事件；第二，引入附加安全功能的同时会带来新的安全问题。

现有安全防御技术是基于威胁特征感知的精确防御，建立在“已知风险”或“已知的未知风险”前提上，有效条件是需要提前获得攻击来源、攻击特征、渗透途径、攻击行为、攻击机制、目标环境等先验知识的支持。现有安全防御技术本质上属于附加或外挂型防御范畴，附加防御的有效性取决于先验知识完备性和精确的实时感知能力，“亡羊补牢”后天免疫+加密/认证“底线防御”无法应对蓄意利用“内生安全问题或共性暗功能”引发的unknow²安全威胁。unknow²安全威胁造成的技术窘境，无论是被保护对象还是“安全守护神”自身都无法回避这些问题，即使加密、认证等算法的安全性在数学意义上可能已足够强大，但其物理或逻辑实现载体的安全性也无法给出理论与工程意义上令人信服的证明。

现有安全防御体系存在理论和工程上无法确保网络空间生态环境“无漏洞无后门”的基因缺陷，基因缺陷导致的体系困境战略上属于被动或消极防御，“堵不胜堵，防不胜防”成为内生安全共性问题之必然缺陷。当前信息产业与网络安全界正面临前所未有的挑战，没有任何商家敢保证“自主可控产品”不存在安全漏洞，没有任何安检机构敢为送检设备/装置作无漏洞安全担保。

三

   内生安全体系与技术特征     

邬江兴院士举例说明了内生安全体系的结构，就像生物的免疫系统，免疫系统可以很好的帮助机体抵挡外来病原体的入侵，人体的免疫系统是在人体战场上构筑的坚不可摧的防病抗病体系，免疫力是最好的医生，是防卫病毒入侵最有效的武器。但免疫有它的双重性，既可以维持体内的稳态，也可以对自身造成伤害。内生安全体系很像一个强壮的免疫系统。在自适应的内生安全体系里，当有网络攻击到系统内的时候，它会根据预先设定的方案，启动终端和服务器的防护措施，甚至采取隔离等极端措施；为防止攻击蔓延和降低损失，还会自动通知防火墙、交换机、路由器等边界网络安全设备进行反击。通过对内生安全的科学思考，基于对内生安全体系的思考，结合人自身免疫系统的原理，总结出内生安全技术特征：

1、 内生安全属于目标对象内源性的安全功能，具有与脊椎生物非特异性和特异性免疫机制类似的“点面融合”式防御功能，与目标对象本征（元）功能产生于同一技术构造，具有不可分割性；

2、内生安全功能不依赖攻击者任何先验知识或行为特征，对独立的攻击资源、攻击技术或方法形成的“任何差模攻击效应”具有天然的抑制功效，对基于o-Day/nDay性质漏洞后门/病毒木马等网络攻击可以完全无视；

3、内生安全功能应当具有时空非一致性的“测不准效应”以及“基于策略裁决的异构冗余场景反馈迭代调度机制”；

4、理论上，“差模逃逸”不可能发生，“共模逃逸”也是极小概率时间，“即使成功也可能只此一次”，在内生安全环境内的攻击行为或成果都不具有稳定稳定鲁棒性和品质鲁棒性。

所以说，内生安全功能应当成为网络信息基础设施乃至任何信息系统或控制装置的基本功能。

四

      内生安全理论与方法         

邬江兴院士表示，拟态防御作为内生安全理论的技术实践，能够在不依赖先验知识条件下，管控暗功能引发的内生安全问题。传统或非传统安全问题导致的广义不确定扰动能被DHR构造的内生安全机制变换为构造内“差模或共模扰动”的概率问题使攻击目标无法识别、攻击效果难评估、攻击经验无法继承、攻击场景难以复现。

运用构造固有的随机、多样、冗余、反馈迭代机制的测不准效应，可以在不依赖外部先验知识和附加防御措施的情况下，依靠策略裁决、反馈控制和多维动态重构等机制，可以同时应对“基于暗功能的攻击”和软硬件随机性故障等内生安全问题。

通过借鉴可靠性理论与自动控制理论，发现了基于相对正确公理能将unknow²问题转换为有感差模、共模问题的规律，提出了编码信道纠错理论，功能安全与信息安全问题可以归一化处理。通过发明一种动态异构冗余构造，导入拟态伪装机制，产生测不准效应，获得可量化设计、可验证度量的内生安全与广义鲁棒控制功能。拟态构造的软硬件系统能够保证，外部的设计缺陷不会成为内系统的安全问题，总结下就是发明了一种动态异构冗余构造DHR，获得测不准构造效应，形成拟态防迷雾。

理论与实践证明，DHR能够100%的抑制构造内以差模形态呈现的广义不确定扰动，能够将构造内共模形态的广义不确定扰动逃逸概率控制在设定阈值内，任何成功的试错攻击或盲攻击都会使构造环境发生攻击者无感切换。

拟态防御将“未知的未知安全威胁”转变为“已知的未知安全问题”，将无法量化控制的问题转换为基于可控概率的问题，将内生安全共性问题转变为经典可靠性理论与自动控制技术可以管控的事务，为网络空间防御提供了改变游戏规则的革命性技术。

五

      内生安全技术实践与发展      

拟态构造是一种前景可期待的内生安全赋能技术，DHR构造理论及基本方法能够破解信息系统或控制装置内生安全共性问题不能管控的世界难题，使得“从源头管控基于信息技术的相关领域产品安全缺陷”成为可能，漏洞后门资源将失去战略性作用，“隐匿漏洞、设置后门”不再具有战略意义，能从根本上抵消美国人在网络空间基于漏洞后门甚至前门的战略优势。拟态构造能够为IT/ICT/ICS/CPS等技术与产业发展赋予可量化设计、可验证度量的内生安全功能，有望彻底扭转当前网络安全领域“有合规性管理，缺乏可支撑手段”，“即使自主可控也很难达成安全可信目的”之困局。邬院士最后提醒，拟态构造也存在机理缺陷，即对能够跨拟态场景的协同一致攻击存在较高的逃逸概率。（本文版权归作者所有，未经授权严禁转载和引用。）