首頁 觀點正文

一種辯證法的安全觀

筆者在工作、學習過程中聽到的關于網絡安全本質的基本看法和觀點是不少的。近日,陸寶華老師在他的《關于網絡安全本質的討論》一文中整體上總結和評判了一些觀點思想,在這些觀點思想,有的源自一些安全標準和實踐,有的源自一些行業專家的經驗感悟。對于網絡安全行業的從業人員,大都是對網絡安全的本質有一些感性認識的,但這種認識還多數停留在不同的層面,深度上難以達成一致,以致有些工作受到了不科學的安全觀點思想的影響,造成方法論上的偏差。筆者想要嘗試通過唯物辯證法思想剖析網絡安全的本質,供大家研究參考。

一、《矛盾論》與安全觀

毛主席在《矛盾論》中開篇就提到了形而上學和辯證法的兩種宇宙觀。

形而上學的宇宙觀就是用孤立的、靜止的和片面的觀點去看世界。這種宇宙觀把世界一切事物,一切事物的形態和種類,都看成是永遠彼此孤立和永遠不變化的。

辯證法的宇宙觀,主張從事物的內部、從一事物對他事物的關系去研究事物的發展,即把事物的發展看做是事物內部的必然的自己的運動,而每一事物的運動都和它的周圍其他事物互相聯系著和互相影響著,主要地就是教導人們要善于去觀察和分析各種事物的矛盾的運動,并根據這種分析,指出解決矛盾的方法。

如今我們都熟悉馬克思主義哲學和毛澤東思想,知道要用唯物辯證法的觀點去分析事物發展、看清問題本質,但是在日常學習、工作和生活中亦不乏形而上學的思想。人們用形而上學的思想能夠直觀而簡單的解釋現象和問題,但卻難以發現問題本質,導致容易用錯誤的方法去解決問題。在做網絡安全相關工作過程中,認為搞安全就是單純搞攻防搞對抗的,聽到某位專家說某某系統/技術絕對安全就搞“拿來主義”的,看到某些大廠應用的一些新理念新技術就急著學習推廣的,這些都多少體現著形而上學的思想

網絡安全是一門系統性的學問,這種系統性體現在兩個方面,一方面網絡安全不是做單某一項具體的工作或技術就能解決的(即人們常說的木桶原理);另一方面做網絡安全不能只看網絡安全,還要跳出安全看安全,考慮單個系統安全因素的同時要考慮不同系統間的聯系和影響。網絡安全的系統性決定了這類問題只能通過唯物辯證法才能正確認識。

二、網絡安全研究的基本對象

馬克思在《資本論》中首次使用現象學還原的方法來研究“資本雇傭勞動”的行為,將“資本雇傭勞動”中的經濟學范疇去掉,將經濟事實還原為“生產資料對活勞動行使支配權”的事情本身。我們也可以利用現象學還原的方法來分析網絡安全研究的基本對象。

安全是指一個對象沒有受到侵害、不會發生危險的客觀狀態,這個定義是大家普遍接受的。但筆者認為這個對象,不是單純的指一個人、一個系統或一個組織機構。如果研究安全只考慮某一事物,而忽略事物之間的聯系和影響,那就又犯了我們前文提到的形而上學的錯誤。試想一下,如果一個系統完全獨立與世隔絕,哪怕它有成百上千個安全漏洞,沒有人使用它,甚至沒有人知道它,我們就不需要關心它的是否安全了。安全的狀態,絕非僅發生在某一獨立的事物上,而是在表達某一主體同另一客體之間的聯系和行為。從計算機科學的范疇上講,這種聯系和行為可以表述為“主體訪問客體”,或簡稱“訪問”,如果用現象學還原的方法還原為事情本身的話,訪問本質上是一個主體想要獲取一個客體的資源,這種資源可能是數據或信息,也可能只是一種服務。當然,我們所說的主體、客體和訪問行為都是相對的。我們可以結合實際生活的場景思考一下,我們無論是上電商網站購物,還是上購票網站買火車票,都是在獲取這個網站為我們提供的服務資源,相應的,網站也獲取了我們的個人信息數據資源。

所以筆者認為,網絡安全研究的基本對象實質是訪問,或者說訪問行為。安全指的就是訪問行為沒有受到侵害、不會發生危險的狀態。但是,訪問行為沒有受到侵害、不會發生危險的狀態這個定義,只能說明這是評價安全的狀態,還不足以反映安全的本質。這里我們不得不更進一步分析訪問行為的內在矛盾。

在訪問過程中,主體訪問客體的最根本出發點是想要獲取客體的資源,但客體不會開放所有的資源給主體訪問(如果所有資源都無條件開放,那么基本可以將二者理解為同一主體),而是想要主體在客體允許或期望的范圍內獲取資源,即客體要考慮訪問的有限性,防止訪問行為失控。要提供資源,又要確保訪問的有限性,這便構成了訪問行為的內在矛盾。現在我們知道確保這種訪問行為有限性的手段一般稱為訪問控制。

當訪問主體是授權主體(合法主體)時,訪問的行為便是受客體允許的行為,能夠體現出訪問的業務價值;當訪問主體是非授權主體(非法主體)時,訪問的行為便是入侵行為,這時體現的不是正常的業務價值,相反可能是業務損失。值得強調的是,筆者這里所指的訪問控制,不能只按照相關安全標準文件里的訪問控制去理解,應該從更廣義的層面理解,即所有能對訪問行為加以控制的手段,包括技術和管理手段,包括審計、檢測措施等。

圖1 訪問控制基本示意圖

我們研究訪問行為的安全與否,實質上就是在研究對某一訪問行為的安全性評價,研究訪問控制行為是否有效,而提到評價,就不得不引出一個基本邏輯——假設。

三、假設的意義

假設對于無論社會活動還是科學研究來說,都是非常重要的邏輯基礎。人類認知自然和社會,建立科學體系的過程,其中就包含大量的“構建假設——驗證假設——修正或推翻假設”的過程。

幾何學體系中,“平行線不相交”就是歐式幾何的最基本假設(公理)之一,如果將這條基本假設推翻,那便構建了非歐幾何;西方經濟學是最擅長設立假設的學科之一,諸如“市場是無形的手”假設、“投資人是理性的”假設等等。

對于網絡安全十分重要的現代密碼學,也是構建在一些基本假設基礎上的。現代密碼學中的對稱密碼和非對稱密碼,其安全性基本假設是當前的計算能力無法在確保信息價值的時間內對其破解,所以一旦人類突破了傳統計算機的算力限制(如使用量子計算技術),即可推翻這一基本假設,現代密碼學的對稱密碼和非對稱密碼算法便變得不再安全。量子密碼和量子通信的安全性基本假設是基于量子糾纏特性和不確定性原理等量子力學基本物理事實,一旦某個宇宙中的基本物理規律不再遵循這些事實,那量子密碼和量子通信的安全性假設也將被推翻。

最近有廠商提出零信任的概念。筆者最早接觸信任觀點是當時讀道哥的那本《白帽子講web安全》,他在書中提到“安全的本質是信任”。有的廠商借此雜糅一些大洋對岸的觀點,提出個零信任的概念,結果做的還是身份安全和4A那些東西,這種對信任的理解就略顯狹隘了。道哥對于信任的觀點是比較深刻的,他雖然用的是“信任”這一詞去表達他的觀點,但他所說的信任不單是指人與人的信任,更不能停留在“身份安全”的層面去理解。他所說的信任,實質上指的是一種合理預期,或者說合理假設。

拿道哥書中的例子來講,他給我們講了XSS漏洞的原理,本質上這種漏洞產生的原因就是網站將用戶的輸入的業務數據當成了代碼來執行。對于網站來講,它是過分地“信任”了用戶,去假設用戶所有的輸入都是按照自己的設想來的,這是種不合理的假設,表現出的現象就是訪問行為的失控,即我們所說的“不安全”。對于這種漏洞的處理方式,首先從思維邏輯上先去除這種對用戶的絕對信任,假設用戶是會輸入一部分惡意指令和代碼的,然后在網站代碼中加入對輸入內容的過濾和轉義等操作,即實現了對訪問行為的控制,最后能夠得出漏洞得以修復的結論,恢復到我們所謂“安全”的狀態。當然,這種安全也是基于我們的訪問控制是有效的這一假設,只不過這個假設比前一假設更加合理,所以表現出的結果就是漏洞修復后網站的安全性更高了。一旦有人使用了新的技術致使我們采取的過濾、轉義失效,那這一假設便也又變得不合理了,網站便也又變得不安全了。

安全所做的工作常常也被叫做風險管理,也有很多人持有安全的本質就是風險管理這一觀點。風險管理的資產識別、風險評估、風險處置等過程,最終對于處置后的風險的接受,實質上仍是在假設風險處置措施是有效的、合理的,假設處置后的風險能夠符合相關組織機構的安全管理需要。

四、有效的訪問控制

通過前面的分析,結合陸寶華老師“確保正確的授權操作”思想,筆者提出安全的本質是一種基于有效訪問控制的合理假設,假設的合理性關鍵就在于訪問控制的有效性,其有效性具體體現在這幾個方面:

1、身份鑒別和認證機制的有效:

一是要能確保每一主體和客體具備唯一的、可識別的、不可篡改和否認的身份標識,二是要確保認證過程的有效,防范認證信息被重放或破解。

2、訪問有正確的授權:

一是要保證有授權,不能無條件開放所有訪問;二是授權要正確,即根據具體的安全場景設置合適授權策略,并適時調整,確保正確授權的動態性。

3、對權限進行控制的技術、管理手段能夠有效執行:

能夠通過從物理層到應用、數據層的一系列控制技術和管理方面控制措施確保正確授權能夠有效執行,當然也包括審計過程,從而避免訪問控制失效。

4、能通過有效手段對假設合理性進行驗證:

即檢驗訪問控制的有效性,一方面是通過風險評估、攻防演練、滲透測試等評估檢測方式,另一方面則是通過系統實際運行的實踐來檢驗。

筆者認為通過涵蓋以上四方面內容的基于有效訪問控制的合理假設,能夠較為全面的解釋安全的本質。

四、小結

我們基于唯物辯證法分析出了網絡安全研究的對象是訪問行為,評價某一訪問行為安全與否實質上是在作出一種合理的假設,這種假設是基于訪問控制的有效性,主要體現在身份鑒別和認證機制的有效性、訪問有正確的授權、對權限進行控制的技術和管理手段能夠有效執行、能通過有效手段對假設合理性進行驗證幾個方面。

我們基于這種唯物辯證法的觀點去分析理解其他的關于安全本質的觀點,便能分析出其強調的方面是什么,又有哪些方面的不足,這也有助于我們今后分析研究和解決安全問題。

注:本文由作者投稿至數據觀并授權發布,僅供參考、交流之目的,不代表數據觀立場,轉載請注明來源及作者信息。

責任編輯:姚治

分享:
2018天天拍拍天天爽视频|欧美免费交性视频|日本视频网站www色|自拍综合