FIA项目背景：互联网安全问题催生网络新架构

特约通讯员 许廷涛

从诞生至今，互联网已经创造了众多的奇迹，如电子商务的繁荣发展，电子邮件成为人们主要的沟通方式。现在，每天都有无数的用户使用互联网，一些关键性的行业，诸如银行，其业务也越来越依赖互联网。然而，在互联网繁荣发展的背后，也存在着一些问题——互联网缺乏内在的安全性。互联网自身的缺陷导致了其安全性的降低以及对新技术适应能力的下降。

防火墙

AOL(AmericanOnLine，美国在线，是美国最大的网络服务供应商)更新其软件时，新版本常常带有一串数字，如 7.0、8.0、9.0，其最新的版本被称为AOL9.0安全版。不过，提升互联网的表现已经不再是提供最新最酷的应用软件，而是增强软件的生存能力，即抵御计算机病毒入侵的能力。

IBM发布的一份研究报告称，在2005年上半年，由携带“拉登”病毒的电子邮件和刑事犯罪引起的安全攻击次数增加了50%，攻击目标集中在政府、金融服务机构、制造业以及医疗保健行业。2005年7月，美国互联网和生活项目报告称，在5900万成年人中，43%的美国互联网用户表示他们的计算机中存在间谍软件和广告软件，91%的用户会采取一些预防性的措施，诸如避免访问该类的网站或者停止下载软件。越来越多人关注防火墙的问题。防火墙作为内部网络和外部网络之间的网络安全系统，通过控制数据流的进出，最大限度地保护计算机系统免受黑客的入侵。如果防火墙的安全性低，计算机将不能有效地防范黑客的攻击。

垃圾邮件

在网络安全技术方面处于领先地位Symantec公司表示，从2004年7月1日到12月31日，在其检测的公司中，垃圾邮件数量急剧增加了77%。Symantec公司的原始数据显示，平均每周的垃圾邮件总数由8亿上升到12亿，而且在全部邮件中，60%都是垃圾邮件。

但是，在所有这些网络威胁当中，危害性最大的是僵尸网络 (通过各种手段在大量计算机中植入特定的恶意程序，使控制者能够通过相对集中的若干计算机直接向大量计算机发送指令的攻击网络)。这种大规模的攻击已经构成了数据欺诈犯罪，而宽带网络的广泛应用更是加大了这种情况发生的可能性。黑客以这些毁灭性的攻击威胁那些不满足他们金钱需求的公司。一项由卡内基 梅隆大学研究人员开展的研究显示，其所调查的100家公司中有17个公司面临着这种攻击的威胁。

补丁问题

最初的互联网协议是在19世纪60年代制订的，这个协议促进了几百个学术机构与政府、用户之间的沟通交流。协议有效地把数据装进简单的数据包中，并且通过一系列的网络路由器发送至目的地。路由器和个人计算机都成为节点，拥有唯一的数字地址，这就是被人所知的互联网协议或IP地址，工作原理也基本如此。计算机系统假设网络中的所有用户都是可信赖的，并且所有通过互联网连接的电脑基本上都是固定不变的。互联网的设计，与信息数据包所携带的内容并没有关系。除了发送数据到其目的地，互联网没有做其他更多的事情，也没有适应移动的节点，比如PDA可以在任何地方连接到互联网上。

近些年来，一系列的补丁程序相继诞生，诸如防火墙、杀毒软件、垃圾邮件过滤程序等。每当一个移动的节点改变其网络位置时，补丁就会分配其一个新的IP地址。

安全补丁跟不上网络发展的部分原因是，大部分用户使用的补丁都不相同，并且不是每个用户都会按时更新补丁，有些用户甚至从不安装任何补丁。此外，常见的会随着IP地址不断变化的移动补丁也有缺点。当计算机每次用一个新的身份连接到互联网时，平时经常访问的网站将不会识别你是一个老用户。不断变化的IP地址也意味着当你使用互联网时，一些服务可能会被中断，比如在PDA上听流媒体广播。这也意味着如果有人通过移动设备犯罪，将难以追查。

我们亟需关注不同领域专家的观点。补丁使互联网系统变得更加复杂、更加难以管理和理解，而且很难在其基础上作出改进。普林斯顿大学的计算机科学家拉里帕特森说，30年来，互联网得到不断的改善，所发现的问题也逐步得到修复。漏洞一经发现，技术人员就尝试去修补它。这样虽然也可以维持互联网的安全，但是我们需要思考的是，有没有方法可以长期有效地解决这个问题。如果只是不断地重复发现问题、修补问题，而没有从根源上解决问题，那么互联网将会变得越来越复杂且脆弱。而这种情况会导致新服务难以得到应用，因为已经增加的解决方案所带来的复杂性，使得系统更加难以管理。有些人甚至担心我们因此会进入死胡同。如果不能充分修补这些问题，那么我们将面临异常重大的威胁。

NSF对互联网的贡献

NSF(美国国家科学基金会)正在制定一个5到7年的计划，并且预计投入2到3亿美元的研究经费用于开发一个更加简洁的架构，这个架构具有更高安全性，适应新技术的发展，并且易于管理。

新架构预设目标

(1)给予媒介一个基本安全架构——一种认证用户真实性和防止垃圾邮件以及病毒等入侵计算机的能力。好的安全性是这次重构最重要的目的。

(2)实用性。新架构将会增加一些协议，使网络服务提供者能更好地发送信息流，提供更优质的服务。

(3)允许未来任何大小的设备连接到互联网——不仅是个人电脑，还有传感器和嵌入式处理器。

(4)网络更易管理。比如，新技术应该允许检测网络的每一个部分，以及及时向网络管理员汇报突发问题，不管是技术故障、网络堵塞还是可复制传播的蠕虫病毒。

新架构预设目标并非都遥不可及

NSF过去的几年在这个调研已经投入超过3千万美元。实验室已经开发了许多有前景的技术，比如可以认证在线用户、识别病毒、保护他人隐私，增加无线设备和传感器等。在别人都不清楚哪一项技术会在新的架构中出现的时候，他们已经开始理解一个“新”的互联网应该是什么样子的和它是如何区别于“旧”的互联网。

许多适用于这个新架构而且极具前景的技术都来自于PlanetLab，普林斯顿大学的皮得森近几年也是在该实验室研究这些技术。

(1)软件技术。在这个不断发展的项目中，所有的研究人员都在研究一个可以拼接到现在的互联网路由器上的软件。举个例子，一个“敏锐”的软件可以从网路流量中发现蠕虫。该软件识别被蠕虫感染的主机寻找新主机时发出的疑似数据包，并可以警告系统管理员病毒文件的出现。软件还可以测量流入和流出网卡的数据，诊断是否出现网络堵塞，并提出一个更有效的路径绕过它。

(2)鉴定技术。鉴定技术可以帮助鉴定网络传播的真实性。这套技术可以说是对互联网安全的一个福音。也就是说，该技术能够明确识别一封银行邮件是否存在欺骗性；此外，银行也可以明确识别账号登陆者是否开户者本人，避免由盗号者非法操作造成损失。

如今，用户经常被请求输入各种信息证明其网络身份的真实性，如密码、社保号码、工作证号码、信用卡号、飞机常客号、人工识别号等等。但是当成千上万的用户都在不断地输入这些登陆号码时，很容易被间谍软件或黑客从无线网络中发现，然后盗取用户信息，实施诈骗犯罪，更甚者会进行破坏活动。

(3)口令。一个由实验室和大学团体组成的机构提出了因特网2代的改良解决方案，并为用户开发先进的网络技术。这个软件叫口令，负责在发送者和接收者之间进行联系，它可以通过数字证书的集中式交换以及其它一些方式，安全地传输合适的账号、密码和其他可以供接收者识别的信息。除了让分散的信息更加安全，它还可以保护用户的隐私。因为它只公开特定交易时与用户相关的某个“属性”，而不是用户的所有信息。

不断发展的口令和这些类似的技术可以等同于补丁的作用。但是他们中间一些基本的要素也可以发展成互联网架构的一部分。

创建新架构道路并非一帆风顺

值得注意的是，不管互联网有多少缺点、不安全性和修补的代价，它依然是人们日常工作中的工具之一。任何一个提升性能的尝试都会面临很多问题：所有网络服务提供商都要同意更换他们的路由器和软件，一些人必须为数以亿计的账单买单。但是NSF不建议放弃原有的网络或者强制安装新的东西。相反，NSF希望创建一个更好的架构，并证明它有更优秀的表现，而且为了满足用户需求，可以允许一些新技术来替代原来的方法。

为此，NSF努力设想一个庞大的基础设施建设，花费约为300万美元。这个想法是创建一个可以承受来自现实网络流量的考验新架构，建设让人们能够有选择性地应用的基础设施。

不过，也有人提出质疑，一个更智能的网络可能比原来的互联网更加复杂，因此容易出现故障。传统观点认为，网络本身应该是非智能的，但在其两端的智能设备应该变得更加智能。互联网的安全问题，以及知识产权的窃取，可能会制约媒体的发展，导致互联网的退步。

“不管最后的结果是做出一个新的架构，还是在原来的基础上做出有效的改变，并没异样。只要有一个稳定的互联网，这些尝试就会成功，”克拉克 (麻省理工学院资深网络政治家及前首席协议架构师)说，“如果它能围绕共同的目标，使研究团体发挥作用，就会帮助我们往正确的方向前进。”

创建新架构的进展

NSF将利用现有的研究成果，努力打造一个简洁而稳固的互联网架构。下面是一些能提高互联网安全性的成果。

·美国普林斯顿大学

创建互联网“覆盖网络”的硬件和软件，据2006年的统计数据，有630台机器在25个国家执行搜索蠕虫和优化流量任务。

·犹他大学

开发软件和硬件测试试验台，为研究人员提供了一个简单、实用的途径来模拟互联网上各种各样的研究项目。

·加州信息科学研究所

开发一个试验台，研究人员可以安全地模拟网络攻击，对它们进行分析，制定防范策略，尤其是对关键基础设施的完善。

·美国罗格斯大学无线信息网络实验室

开发无线网络架构和协议，致力于部署移动互联网，进行高速调制解调器和频谱管理的研究。