Windows發(fā)布補(bǔ)丁若受限，中國如何提升網(wǎng)絡(luò)安全？

四川質(zhì)量發(fā)展研究院高級研究員熊節(jié)6月6日在接受觀察者網(wǎng)采訪時表示，美國商務(wù)部新規(guī)和之前的“實(shí)體清單”其實(shí)是一以貫之的。拿微軟來舉例，以前一直有“安全補(bǔ)丁包”的說法，Windows系統(tǒng)和Office軟件通過不斷打補(bǔ)丁包的形式來完善自己的服務(wù)。補(bǔ)丁包就是一種新的服務(wù)貿(mào)易形態(tài)，可以說：以前美國的制裁和管控沒有怎么關(guān)注這個方面，現(xiàn)在把這種服貿(mào)形態(tài)給放進(jìn)經(jīng)濟(jì)制裁的范疇里面來了。

在傳統(tǒng)意義上，互聯(lián)網(wǎng)被人們視為公共場所，它是一種公共品。其發(fā)展過程中產(chǎn)生了不歧視、平等對待、自由開放的互聯(lián)網(wǎng)精神。與此同時，對于什么是“安全的軟件”，大家也有長期的討論。

像IBM（國際商用機(jī)器公司）這樣的大公司會說，我提供給你的就是安全的。但在自由軟件社區(qū)、開源社區(qū)和黑客社區(qū)，人們會認(rèn)為，一款安全的軟件，會有無數(shù)雙眼睛來盯著它，其能力比這些大公司的產(chǎn)品更強(qiáng)，同時還不會留下后門或營私舞弊的空間。在黑客社區(qū)，這也形成了發(fā)現(xiàn)漏洞，并且將其（有償）提供給廠商幫助修復(fù)，最終實(shí)現(xiàn)保護(hù)用戶目的的“白帽子”社區(qū)。

但是在如今的地緣政治環(huán)境下，新的問題產(chǎn)生了：這種行為該怎么定性？

與開源社區(qū)團(tuán)隊(duì)類似，從事網(wǎng)絡(luò)安全工作的人們在發(fā)現(xiàn)漏洞后，也會以一種網(wǎng)絡(luò)協(xié)作的方式來處理。BIS新規(guī)下同樣的問題是：那么這種協(xié)作屬于什么性質(zhì)？顯然，BIS的規(guī)定，對于微軟這樣的巨頭也好，對于從事網(wǎng)絡(luò)安全的個人或者組織也罷，都會帶來一系列現(xiàn)實(shí)的問題。

自上世紀(jì)70年代以來，美國長期引領(lǐng)全球互聯(lián)網(wǎng)發(fā)展，“互聯(lián)網(wǎng)精神”曾被全球IT界作為一種共同信仰。

在熊節(jié)看來，這種精神是比較空泛的，它建立在前面幾十年美國主導(dǎo)的世界秩序和全球一體化的秩序基礎(chǔ)上。在沒有面對意識形態(tài)，以及政治、經(jīng)濟(jì)和地緣沖突的時候，大家相對比較容易去沒有隔閡地開放軟件和技術(shù)。

眼前發(fā)生的事實(shí)證明，當(dāng)?shù)鼐壵苇h(huán)境發(fā)生變化，政治、外交和意識形態(tài)沖突走到明面時，軟件社區(qū)和互聯(lián)網(wǎng)社區(qū)很難獨(dú)善其身。過去的開源和互聯(lián)網(wǎng)社區(qū)依賴高度的信任，而不是依賴于機(jī)制。

熊節(jié)特別指出一種隱患，在軟件產(chǎn)品采購過程中，很多買方會認(rèn)為，我向一家公司買的東西，這家公司會完全具備它的知識產(chǎn)權(quán)。但是現(xiàn)實(shí)可能讓人大跌眼鏡：很多軟件系統(tǒng)都是從開源社區(qū)中獲得的，其供應(yīng)鏈依賴幾千上萬個開源項(xiàng)目，如果某一開源軟件某天發(fā)生了更新，那么整個軟件系統(tǒng)也會自動跟著更新。如果沒有對開源供應(yīng)鏈進(jìn)行專門監(jiān)控，甲方和乙方都無法掌控整個過程。

此前的一個“供應(yīng)鏈投毒”實(shí)例已經(jīng)證明了這種擔(dān)憂的現(xiàn)實(shí)性。在俄烏沖突發(fā)生后，有人在自己上傳的一段代碼中留下后門，在用戶電腦上寫入“支持烏克蘭”的一段文本。

在熊節(jié)看來，在當(dāng)前的國際地緣環(huán)境下，特別是美國BIS出臺上述新規(guī)的背景下。網(wǎng)絡(luò)安全對于中國顯得尤為重要，特別是很有必要對現(xiàn)有開源生態(tài)進(jìn)行升級。

“我們需要打造一個更負(fù)責(zé)的、更可追蹤的、更可回溯責(zé)任的開源系統(tǒng)，”熊節(jié)認(rèn)為，同時，從事開源供應(yīng)鏈咨詢、審核并提供相關(guān)工具技術(shù)的人才也要形成一個生態(tài)產(chǎn)業(yè)。在基礎(chǔ)設(shè)施、機(jī)制、人員和服務(wù)的合力下，共建“安全的供應(yīng)鏈”。