金健:互联网技术资源的安全现状

12月12日,全球首个探讨产业互联网的大型会议,2014 CVW﹒产业互联网大会在北京亦庄召开,并通过纽约时代广场大屏幕同步呈现。大会由亚信集团、云基地和亦庄经济技术开发区联合举办,汇聚超过5000名关注互联网和传统产业发展的全球IT和传统行业领袖和精英,探讨“互联网进入传统行业”、“传统行业互联网化”的演进以及产业互联网的技术模式和业务创新。

在下午的产业互联网大会“网络安全@互联网”主题论坛上,中国互联网信息中心副主任金健出席并演讲,以下是他的演讲全文:

金健:希望大家多关注我们工作,我们互联网技术资源,主要指互联网的IP地址还有运营。IP地址,我认为它有点像石油,还有煤炭一样的资源,虽然我们可以不断的升级IPV4、IPV6还有IPV9,我觉得这种升级会带来一个,如果我们不好好用它,我们的确可以进行无限的扩展,但是可以带来管理的增加,这也是一种资源的浪费。所以从这个角度讲,互联网的技术资源像煤炭和石油,应该好好用,省着用,把它对互联网的安全管理发挥出来。大家见过这个东西,网上需要一个更可信的网络环境,因为网络是虚拟的。看右边这个图,除了知道谁是谁,还需要保护自己,这就是个人隐私保护。你想让别人知道的就让别人知道,不让别人知道就不让别人知道,这是我们理想的网络环境。互联网发展到现在,越来越多的诉求。

上午讲的产业,渗透到各个行业的互联网,都提出了这方面的诉求。我们看一下互联网技术资源,这是互联网上最重要的资源IP地址,这是我们的电信的刘紫千老师非常熟悉的图,我们看一下左边是IPV4、右边是IPV6,不用看的太仔细,看看里面复杂的连线就知道这个地址使用的不怎样。因为大家知道使用的分配浪费了很多地址,V6试图解决这个问题,但是没有特别好的解决方案。这是关于全球地址,我们现在从V4向V6过渡。现在看一下大家熟悉的拟合网络,运营的这个空间。从2012年开始,正式启动这个名字,可以使用自己的名字也可以使用任何名字作为访问后缀,可以看到很多个性化的。

无论是名字的IP地址空间扩展,还是名字的空间扩展,可以给我们带来很多便利,我们可以有很多很好的体验。但是空间的成长一定会带来安全的问题,从我们的角度来看,我们一直做运营IP地址的工作,左边的图是我们CNNIC以前的主任做的,分成三层,不知道是否合理。我们做这个工作还是有一定的逻辑,IP地址和域民起到中间的作用,域民总数接近三亿,IPV4的空间已经用尽,IPV6在如火如荼的推进部署。基础资源维持着名字和IP地址的关系,数据库也是很大很复杂的。从这个位置可以看出互联网数据资源在安全的位置,如果用好可以解决很多问题,用不好也有很多问题。总结一下,现在很多智能设备,甚至人体里面植入一些芯片,很多设备很多服务需要一个标识,使用一个IP地址访问这个东西,万物互联。V4向V6升级,空间在扩展。名字时候使用各个国家的语言,你可以使用自己的语言。大家认为地址和名字的解析关系不是很安全,又涉及到协议做数据签名,让这个解析变得更可靠。这是出现的新情况,这些新情况推动着我们向下一代新的网络架构演进。我们看一下这个图,看起来很复杂。

因为我们关注到两个问题,一个问题就是域名解析,你在中国上网可能要查到美国,因为一层一层分布在海外,要保证这些查询是非常的复杂。第二域名,第一是分布式,第二它的协议非常简单,特别容易受到攻击。这两天我相信运营商的朋友们都在处理DNS攻击问题,大量攻击涌现了运营商,那么会导致网络出现瘫痪、拥堵。我们可以看到这样的查询和攻击,对于网络的损伤。但是我们也知道,你用好DNS带来很多方便。大家知道浏览器,它会在网页里面优先查DNS,你访问的速度非常快。我们说一下关于IP地址问题,上面这个图说全球IP地址分配的管理层次,最上面。那么这是代表国家分配IP地址,有很多机构直接从区域的网络信息中心申请地址,但是中国所有的地址没有分到这个地方分配,一层一层分配地址,这是地址分配情况。大家知道地址分配了要做广播,如果不是你的地址你也广播你也使用,那么带来路由劫持的问题。RPKI,把你的地址和ASR绑定起来,这样变得更安全。最初设计的时候,是让用户看不到的变得更安全。但是很多邮件应用,浏览器也是查询建立的数据库,确保你的邮件不是被钓鱼,所以这个协议的构建,为什么变得这么关键,就是不管对网络基础拓扑还是对于应用都起到非常重要的作用。

最后一个,我想说一下关于基于DNS的应用,刚才说要做地域签名。这个协议架构是一个CA的替代技术,用DNS部署,会变得比KPI的体系更兼容性,你把验证的过程放在看不见的地方,不管是发邮件还是上QQ都可以验证对方的内容,但是你不用刻意显示,强制使用一些协议。这是它的本质,希望可以替代现在的CA。这是一个图,不是特别好看,但是是讲在使用邮件的时候,有了新的CA技术看起来邮件,防止垃圾邮件被篡改和劫持。利用DNE可以构建用户和内容提供商互相验证身份的架构,利用基础资源的技术让上层的应用环境变得更可信,可验证,可管理。

最后我做一个简单总结,希望让大家认识到互联网技术资源的重要性。首先我们随着现在移动互联网网络流量的增加,网络拓扑的增加。IP地址还有域名变得越来越重要,刚才说到,昨天今天三大运营商受到攻击,无论是钓鱼还是Ddoos攻击。我们的管理域名,做到非常强的实名制应用,你用这个做域名的人,他的安全性可以提高,所以我们让这些标识服务变成非常可信的入口。第三个就是通过新的管理架构,可以解决基础网络拓扑的安全问题,基于这种架构,我们可以把原来体验不好的服务替代成新的,让它更具备灵活性,对接不同应用。第五这样的资源,大家使用APP或者使用语音识别,不再需要使用域名,它的入口的作用在减弱。但是因为往下沉,把这个东西做好了,可以成为构建安全可信互联网的有利抓手。无论是我们专业做网络安全还是各位用户,希望你们关注到我们命名的互联网技术安全,虽然它不一定科学,但是它很有用,可以帮助每个层面的网络安全工作。