天融信科技集团高级副总裁 景鸿理

景鸿理：大家好，很高兴今天有这么个机会在这里跟大家作分享，新技术新思维催生新安全，首先我简单地作下自我介绍。

我是北京天融信集团的景鸿理，在科研工作当中，曾经取得过一些小小的成就，同时在北京商用密码行业协会、密码学会、密标委等社会团体中，也承担着些商用密码的社会工作。

下面开始今天的汇报，一共包括三个内容。第一，网络安全中的零信任机制。第二，零信任安全机制工作过程。第三，“零信任”机制实践经验分享。

我们知道，民航信息化水平相对比较高，数字化、网络化应用程度也是比较高，上午很多专家说到等保2.0，搞信息化都知道，在等保2.0的政策性要求下，民航系统的信息安全建设其实已相当成熟。但是民航信息系统的网络安全仍然是主战场，为什么？前一段时间，我国的外交部新闻发言人专门说过，美国对我们的关键信息基础设施的攻击有增无减，这就是说，外部的攻击比较多；再一个就是我们民航自身信息化建设的发展非常迅速，上午发言的领导们都有提到云计算、大数据，物联网、业务融合等，所以，网络安全在民航业仍然是主战场，这是技术发展的使然。通过5G的云计算、物联网形成泛在互联，会催生很多技术的新认识，已有SDN、SDP、还会出现SDxx等【SD：软件定义】，软件定义网络、软件定义边界，就会引发新的技术性思维，即：网络的边界正在瓦解，基于边界的安全防护措施正在失效。为什么这么说？你那个边界已经不清晰了，云上来了，你的边界已经是软件定义的了，你这个软件定义怎么去确定他的物理网络边界，所以基于边界的安全防护正在失效。

同时，我们也知道，访问控制是网络安全当中最基本的一种保护措施。它也应该顺应时代发展，如果你的访问控制还是放在网络边界上，网络边缘都已经模糊，这个访问控制就不是那么恰如其分。随着上述新技术及其应用的出现，人们产生了与其相适应的新的安全机制的思考，催生了“零信任”这个新的安全机制。“零信任”安全机制到底讲了什么东西？看看它的基本思想：

第一，不再以物理的网络边界作为可信任的安全边界，不再认为我们的内网就是安全的环境。不再以物理网络边界就是这个边界不清晰了，在云计算上来以后，它的计算到底在哪颗CPU上，刚才有专家说算力大，大的算力是多颗CPU联合的结果，云上说不清每颗CPU到底在哪个地域了；你存储东西也在云上，在云上的那个物理盘、具体在什么地方？说不清楚，所以网络边界不再认为是可信的边界。也不再认为内网是安全的网络环境，换句话说即便你能够讲清楚的定义你的内网边界在哪儿，内网也不再被认为是安全的网络环境了。大量的事件表明，很多数据泄露的出现，就是因为我们内部的人员、内部的应用服务，其不健康的操作行为和程序漏洞，被“黑客”利用而产生的，所以不再信任内网的个人，也不再信任内网的程序。

第二，网络中的人/设备/系统服务均应“全面身份化”。身份化了以后，标注他的身份的维度应是多元化。两个方面，第一个方面，身份化讲的是人要身份化，这个很好理解，以前有用户名+口令，证明我就是我，现在有指纹、虹膜还有脸部等等生物的特征，在当今的数字世界身份标识讲的是数字证书。第二个方面，物理的设备、物理的应用，这个东西也要对它进行数字标识，在数字世界里面它也要具有身份，“全面身份化”讲的是两个方面都要进行身份化。

第三，对网络上的仪器设备服务应用进行的访问，我们认为都是不可信任。这个也是两方面的事。一方面我去访问它，我可不可以被信任这里要认证一下。第二我也要认证我正在访问那个服务是不是我想访问的服务、是不是我想要访问的设备，它也要被怀疑，万一给我提供服务的是个蜜罐呢。所以，不信任也是两个方面，人不可信任、提供的服务也不可信任，要进行认证。

第四，任何人对设备及服务的访问，都应该进行基于“身份”的认证和授权，也是两个方面的事。都要基于身份的认证，认证完之后，要给他授权，受到访问控制。这就是零信任安全机制基本思想。

为了讲明白这个事情，下面给出个原理性的图示工作过程。这张图（ppt中第五页的首图）我倒是建议感兴趣的同道拍张照片。我们看下那个图，如果右边没有那些文字和线条的话，右边应该是一片空白了，讲网络安全，网络应该实实在在地存在，这个图表明网络存在，但是不可见。

我们来看左边，初始网络不可见就是这个情况。其实它物理存在，SPA受控可见，进行合理的敲门，才能找到存在的网络。

再看看左边，黑色的表示失败的流程，红色表示成功的流程。终端代表人，终端毫无疑问要装上APP、装上客户端软件等等。

下面我来演示一个不成功的授权和访问控制过程，首先发起SPA，到统一身份控制中心，再到身份管理和授权管理中心，一个是身份的认证一个是授权，那我们看看结果是什么呢？

这是结果，用户身份确认过去了，用户权限过去了，但是你的设备状态不对，平时用的不是这个设备，你的行为也不对，平时你的语速没这么快，你的信任度被打折扣了，不是说你不行，你的信任度打折扣不予通过，原路返回给了身份控制中心，需要重新认证，这在现实生活中是常见的，你换了手机，银行的APP肯定又要对你进行人脸识别。

再看看成功的认证流程，发起SPA敲门，也是通过控制中心身份管理、授权管理发起请求，这次全部通过，他会把消息返回给统一身份控制中心，身份控制中心生成一个半拉的东西，这个东西我们把它称为令牌，生成两张令牌。把这两个东西，一部分发给客户端，另一部分发给访问控制端，这时候终端它才能找到要访问的控制网关，它才能够找得到应用服务，才能够正确地建立网络访问连接，再接下来的网络通讯就是正常，这是原理性的描述。

在这里面，密码是怎么用的呢？在认证授权及访问的过程当中，都是用的国密SSL，都是SM2、SM3、SM4，简称SM2/3/4。为什么不提SM1，它也是商密，因为SM1主要用于党政公文流转系统。借此机会我简单地宣传下《密码法》，过去有叫《商用密码管理条例》现在出台了《中华人民共和国密码法》，《密码法》对“核/普/商”都进行了规范。

“密码”是用来保护信息的机密性完整性真实性不可否认性的，这是用算法保证的，这里讲的“密码”同我们的登陆密码、银行密码，不是一回事，这个密码讲的是密码算法，民航业领导一定知道个事。

关键信息系统应当使用商用密码进行保护，要用网络安全专用产品名录中的密码产品，要进密码应用安全性评估，行，你就自评；不行，就委托第三方进行密码应用安全性评估。这是一个桥段。

再回到这张图上来，传统的防火墙还在吗？这些网络控制的边界还在吗？图上不在了。是不是说它们就没有用了，在这里强调一下，不是！为什么？因为安全它是讲求冗余的，多一个安全防线也没有坏处；还有就是“零信任”的实施也是逐步的，再有就是《关键信息基础设施网络安全保护基本要求》，这个标准要出台，那里面就讲到“重点保护，整体防护”的事，安全也有级别不同的，所以那些老的东西，不能够丢！

最后，跟大家分享下实践经验。“零信任”机制它不是“一个”安全产品的事，是一个机制问题。它是若干个产品和若干个规则组合的一种机制。

“全面身份化”是零信任安全机制动态访问控制的基础，人、物和系统应用都有标识，关键点是以身份为依据，不再以网络边界为依据，构建的时候，是一个基于身份为中心的访问控制机理，对原来的那套访问控制机理，可以说是范式上的颠覆。

还有就是隐藏了网络隐藏了服务，以前的东西都是明明白白在网上，像穿了一身厚重的装甲防弹衣，“来打吧，我们的防火墙厉害”，但现在是穿了身“隐身衣”，你根本就找不到我。

基于身份的访问控制是动态的，这次你行，下一次即便还是你，也不一定行，如果行也是完成任务的最小授权。

最后“零信任”机制注入国产密码的基因，夯实信任基础。

其实“零信任”安全机制，还有很多的很具体的理论依据及技术应用和案例，不再在这里说了。

欢迎各位同道前来交流，我的汇报就到此，谢谢各位。

【PDF】新技术新思维催生新安全----零信任安全机制及密码应用