12月7日，以“禾云神話 智護未來”為主題的“中國移動可信賦能網絡研討暨網絡安全峰會”在昆明舉辦。峰會由中國移動研究院和中國移動云南公司共同主辦，邀請到產、學、研、用等各界嘉賓，共同探討數字經濟時代新基建背景下的網絡安全挑戰與機遇，推動“5G+安全”體系建設，共建網絡安全生態。

作為行業權威專家，中國工程院院士沈昌祥應邀出席此次峰會，并作了題為《用主動免疫可信計算 筑牢移動互聯網安全防線》的主旨演講。沈昌祥院士表示，網絡空間已經成為繼陸、海、空、天之后的第五大主權領域空間，面對復雜的新型網絡，產業界需要采用可信計算理論、主動免疫方法，確保實現正確計算、確保網絡空間正常運行。

構建網絡安全主動免疫保障體系

沈昌祥院士表示，從科學技術上看，網絡安全風險源于圖靈機原理少攻防理念、馮。諾依曼結構缺防護部件和工程應用無安全服務的先天性脆弱缺陷。從認知科學上看，設計IT系統不能窮盡所有邏輯組合，必定存在邏輯不全的缺陷，利用缺陷挖掘漏洞進行攻擊是網絡安全永遠的命題。

沈昌祥院士指出，傳統“封堵查殺”難以應對未知惡意攻擊，而安全可信計算實施運算同時進行免疫的安全防護，使得存在缺陷不被攻擊者所利用，達到預期的計算目標。按國家網絡安全法律、戰略及等保制度必須要構建主動免疫防護的新體系。

“一種”新模式，計算同時進行安全防護。殺病毒、防火墻、入侵檢測的傳統“老三樣”難以應對人為攻擊，且容易被攻擊者利用，找漏洞、打補丁的傳統思路不利于整體安全。主動免疫可信計算是一種運算同時進行安全防護的新計算模式，以密碼為基因抗體實施身份識別、狀態度量、保密存儲等功能，及時識別“自己”和“非己”成分，從而破壞與排斥進入機體的有害物質，相當于為網絡信息系統培育了免疫能力。

“二重”體系結構。通過計算部件+防護部件構建二重體系結構的可信計算節點，建立免疫、反腐敗子系統。

“三重”防護框架。在可信安全管理中心支持下構建主動免疫三重防護框架，

“四要素”可信動態訪問控制。人機交互可信是發揮5G、數據中心等新基建動能作用的源頭和前提，必須對人的操作訪問策略四要素（主體、客體、操作、環境）進行動態可信度量、識別和控制，糾正了傳統不計算環境要素的訪問控制策略模型只基于授權標識屬性進行操作，而不作可信驗證，難防篡改的安全缺陷。

“五環節”全程管控，技管并重。按照網絡安全法、密碼法、等級保護制度、關鍵信息基礎設施保護制度的要求，全程治理，確保體系結構、資源配置、操作行為、數據存儲、策略管理可信。

“六不”防護效果。做到攻擊者進不去，非授權者重要信息拿不到，竊取保密信息看不懂，系統和信息改不了，系統工作癱不成，攻擊行為賴不掉。

打造主動免疫可信計算3.0新型產業空間

中國可信計算源于1992年立項研制免疫的綜合安全防護系統（智能安全卡），于1995年2月底通過測評和鑒定。經過長期軍民融合攻關應用，形成了自主創新安全可信體系，開啟了可信計算3.0時代。

在沈昌祥院士看來，可信可用方能安全交互，主動免疫方能有效防護，自主創新方能安全可控。因而必須搶占核心技術制高點，擺脫受制于人。

沈昌祥院士表示，美國近期宣揚的零信任架構，缺少科學原理支撐，網絡無邊界不符合網絡空間主權原則，基于身份認證的動態訪問控制在國標17859早就規定，傳統的調用功能模塊組合難成為安全保障科學架構，也不符合我國法律、戰略和制度要求推廣安全可信的網絡產品和服務的規定。一定要科學嚴謹分析研究，堅持自主創新，不能盲目跟班。

沈昌祥院士介紹，目前我國已經擁有完備的可信計算3.0產品鏈，將形成巨大的新型產業空間。包括具備可信計算功能的國產CPU，嵌入式可信芯片及可信根，具備可信計算3.0技術的設備。在2020年10月28日，國家等級保護2.0與可信計算3.0攻關示范基地成立揭牌。

在典型示范項目，國家電網電力調度系統安全防護建設中，電力可信計算密碼平臺已在幾十個省級以上調度控制中心、上千套地級以上電網調度控制系統全覆蓋，涉及十幾萬個節點，約四萬座變電站和一萬座發電廠，有效抵御各種網絡惡意攻擊，確保電力調度系統安全運行。目前，國家電網電力調度系統安全架構已經實現軟硬件全國產化。實現高效處理：實時調度；不打補?。好庖呖苟?；不改代碼：方便實施；精練消腫：降低成本。

按等保2.0構筑移動互聯網安全防線

沈昌祥院士指出，等保2.0新標準特點包括，基本要求、測評要求和技術要求框架統一，安全管理中心支持下的三重防護結構框架；通用安全要求+新型應用安全擴展要求，將云計算、移動互聯、物聯網、工業控制等列入標準規范；把基于可信根的可信驗證列入各級別和各環節的主要功能要求。

在等保2.0新標準下也對可信計算提出新的要求。沈昌祥院士表示，所有計算節點都應基于可信計算技術實現開機到操作系統啟動，再到應用程序啟動的可信驗證，并在應用程序的所有執行環節對其執行環境進行可信驗證，主動抵御入侵行為。并將驗證結果形成審計紀錄，送到管理中心，進行動態關聯感知，形成實時的態勢。

5G時代已經來臨，5G網絡在傳統電信云的基礎上引入NFV/SDN等技術進行ICT融合，將移動通信網絡云化、虛擬化和軟件化，使網絡變得更靈活、敏捷和開放，因而也帶來了一定的安全風險，主動免疫可信計算能夠確保5G骨干網、接入網和核心網的安全可信。

責任編輯：gt