天融信科技集团高级副总裁 景鸿理

天融信科技集团高级副总裁 景鸿理

景鸿理:大家好,很高兴今天有这么个机会在这里跟大家作分享,新技术新思维催生新安全,首先我简单地作下自我介绍。

我是北京天融信集团的景鸿理,在科研工作当中,曾经取得过一些小小的成就,同时在北京商用密码行业协会、密码学会、密标委等社会团体中,也承担着些商用密码的社会工作。

下面开始今天的汇报,一共包括三个内容。第一,网络安全中的零信任机制。第二,零信任安全机制工作过程。第三,“零信任”机制实践经验分享。

我们知道,民航信息化水平相对比较高,数字化、网络化应用程度也是比较高,上午很多专家说到等保2.0,搞信息化都知道,在等保2.0的政策性要求下,民航系统的信息安全建设其实已相当成熟。但是民航信息系统的网络安全仍然是主战场,为什么?前一段时间,我国的外交部新闻发言人专门说过,美国对我们的关键信息基础设施的攻击有增无减,这就是说,外部的攻击比较多;再一个就是我们民航自身信息化建设的发展非常迅速,上午发言的领导们都有提到云计算、大数据,物联网、业务融合等,所以,网络安全在民航业仍然是主战场,这是技术发展的使然。通过5G的云计算、物联网形成泛在互联,会催生很多技术的新认识,已有SDN、SDP、还会出现SDxx等【SD:软件定义】,软件定义网络、软件定义边界,就会引发新的技术性思维,即:网络的边界正在瓦解,基于边界的安全防护措施正在失效。为什么这么说?你那个边界已经不清晰了,云上来了,你的边界已经是软件定义的了,你这个软件定义怎么去确定他的物理网络边界,所以基于边界的安全防护正在失效。

同时,我们也知道,访问控制是网络安全当中最基本的一种保护措施。它也应该顺应时代发展,如果你的访问控制还是放在网络边界上,网络边缘都已经模糊,这个访问控制就不是那么恰如其分。随着上述新技术及其应用的出现,人们产生了与其相适应的新的安全机制的思考,催生了“零信任”这个新的安全机制。“零信任”安全机制到底讲了什么东西?看看它的基本思想:

第一,不再以物理的网络边界作为可信任的安全边界,不再认为我们的内网就是安全的环境。不再以物理网络边界就是这个边界不清晰了,在云计算上来以后,它的计算到底在哪颗CPU上,刚才有专家说算力大,大的算力是多颗CPU联合的结果,云上说不清每颗CPU到底在哪个地域了;你存储东西也在云上,在云上的那个物理盘、具体在什么地方?说不清楚,所以网络边界不再认为是可信的边界。也不再认为内网是安全的网络环境,换句话说即便你能够讲清楚的定义你的内网边界在哪儿,内网也不再被认为是安全的网络环境了。大量的事件表明,很多数据泄露的出现,就是因为我们内部的人员、内部的应用服务,其不健康的操作行为和程序漏洞,被“黑客”利用而产生的,所以不再信任内网的个人,也不再信任内网的程序。

第二,网络中的人/设备/系统服务均应“全面身份化”。身份化了以后,标注他的身份的维度应是多元化。两个方面,第一个方面,身份化讲的是人要身份化,这个很好理解,以前有用户名+口令,证明我就是我,现在有指纹、虹膜还有脸部等等生物的特征,在当今的数字世界身份标识讲的是数字证书。第二个方面,物理的设备、物理的应用,这个东西也要对它进行数字标识,在数字世界里面它也要具有身份,“全面身份化”讲的是两个方面都要进行身份化。

第三,对网络上的仪器设备服务应用进行的访问,我们认为都是不可信任。这个也是两方面的事。一方面我去访问它,我可不可以被信任这里要认证一下。第二我也要认证我正在访问那个服务是不是我想访问的服务、是不是我想要访问的设备,它也要被怀疑,万一给我提供服务的是个蜜罐呢。所以,不信任也是两个方面,人不可信任、提供的服务也不可信任,要进行认证。

第四,任何人对设备及服务的访问,都应该进行基于“身份”的认证和授权,也是两个方面的事。都要基于身份的认证,认证完之后,要给他授权,受到访问控制。这就是零信任安全机制基本思想。

为了讲明白这个事情,下面给出个原理性的图示工作过程。这张图(ppt中第五页的首图)我倒是建议感兴趣的同道拍张照片。我们看下那个图,如果右边没有那些文字和线条的话,右边应该是一片空白了,讲网络安全,网络应该实实在在地存在,这个图表明网络存在,但是不可见。

我们来看左边,初始网络不可见就是这个情况。其实它物理存在,SPA受控可见,进行合理的敲门,才能找到存在的网络。

再看看左边,黑色的表示失败的流程,红色表示成功的流程。终端代表人,终端毫无疑问要装上APP、装上客户端软件等等。

下面我来演示一个不成功的授权和访问控制过程,首先发起SPA,到统一身份控制中心,再到身份管理和授权管理中心,一个是身份的认证一个是授权,那我们看看结果是什么呢?

这是结果,用户身份确认过去了,用户权限过去了,但是你的设备状态不对,平时用的不是这个设备,你的行为也不对,平时你的语速没这么快,你的信任度被打折扣了,不是说你不行,你的信任度打折扣不予通过,原路返回给了身份控制中心,需要重新认证,这在现实生活中是常见的,你换了手机,银行的APP肯定又要对你进行人脸识别。

再看看成功的认证流程,发起SPA敲门,也是通过控制中心身份管理、授权管理发起请求,这次全部通过,他会把消息返回给统一身份控制中心,身份控制中心生成一个半拉的东西,这个东西我们把它称为令牌,生成两张令牌。把这两个东西,一部分发给客户端,另一部分发给访问控制端,这时候终端它才能找到要访问的控制网关,它才能够找得到应用服务,才能够正确地建立网络访问连接,再接下来的网络通讯就是正常,这是原理性的描述。

在这里面,密码是怎么用的呢?在认证授权及访问的过程当中,都是用的国密SSL,都是SM2、SM3、SM4,简称SM2/3/4。为什么不提SM1,它也是商密,因为SM1主要用于党政公文流转系统。借此机会我简单地宣传下《密码法》,过去有叫《商用密码管理条例》现在出台了《中华人民共和国密码法》,《密码法》对“核/普/商”都进行了规范。

“密码”是用来保护信息的机密性完整性真实性不可否认性的,这是用算法保证的,这里讲的“密码”同我们的登陆密码、银行密码,不是一回事,这个密码讲的是密码算法,民航业领导一定知道个事。

关键信息系统应当使用商用密码进行保护,要用网络安全专用产品名录中的密码产品,要进密码应用安全性评估,行,你就自评;不行,就委托第三方进行密码应用安全性评估。这是一个桥段。

再回到这张图上来,传统的防火墙还在吗?这些网络控制的边界还在吗?图上不在了。是不是说它们就没有用了,在这里强调一下,不是!为什么?因为安全它是讲求冗余的,多一个安全防线也没有坏处;还有就是“零信任”的实施也是逐步的,再有就是《关键信息基础设施网络安全保护基本要求》,这个标准要出台,那里面就讲到“重点保护,整体防护”的事,安全也有级别不同的,所以那些老的东西,不能够丢!

最后,跟大家分享下实践经验。“零信任”机制它不是“一个”安全产品的事,是一个机制问题。它是若干个产品和若干个规则组合的一种机制。

“全面身份化”是零信任安全机制动态访问控制的基础,人、物和系统应用都有标识,关键点是以身份为依据,不再以网络边界为依据,构建的时候,是一个基于身份为中心的访问控制机理,对原来的那套访问控制机理,可以说是范式上的颠覆。

还有就是隐藏了网络隐藏了服务,以前的东西都是明明白白在网上,像穿了一身厚重的装甲防弹衣,“来打吧,我们的防火墙厉害”,但现在是穿了身“隐身衣”,你根本就找不到我。

基于身份的访问控制是动态的,这次你行,下一次即便还是你,也不一定行,如果行也是完成任务的最小授权。

最后“零信任”机制注入国产密码的基因,夯实信任基础。

其实“零信任”安全机制,还有很多的很具体的理论依据及技术应用和案例,不再在这里说了。

欢迎各位同道前来交流,我的汇报就到此,谢谢各位。

【PDF】新技术新思维催生新安全----零信任安全机制及密码应用

中国民航报社 版权所有 京ICP备05024158
如有意见和建议,请惠赐E-mail至 news@caacnews.com.cn
./t20201103_1313358_sj.html