網(wǎng)絡(luò)信息安全，事關(guān)重大。上海眾人網(wǎng)絡(luò)安全技術(shù)股份有限公司，開發(fā)出了中國首批采用國產(chǎn)算法的動態(tài)口令身份認(rèn)證產(chǎn)品。回顧5年艱辛，總裁談劍峰無怨無悔——
自己的“鎖”必須自己做
文匯報記者 許琦敏 2012-08-17頭版
密碼，是守護(hù)信息安全的一道重要“門禁”。往大處說，它事關(guān)一個國家的信息安全。密碼必須依靠本國研發(fā)。
談劍峰曾是網(wǎng)游《魔獸世界》的玩家，在賬號被盜的惱怒中，他意識到密碼由本國研發(fā)的重大意義，也看到了相關(guān)國產(chǎn)產(chǎn)品潛在的巨大市場。他開發(fā)出了中國首批采用國產(chǎn)算法的動態(tài)口令身份認(rèn)證產(chǎn)品，并推動制定了這一領(lǐng)域的國家標(biāo)準(zhǔn)。
一代比一代更先進(jìn)、更安全可靠，動態(tài)口令認(rèn)證產(chǎn)品不斷從他成立不過5年的年輕公司不斷涌現(xiàn)，走進(jìn)中國的金融、網(wǎng)絡(luò)運營、教育、醫(yī)療等關(guān)系到國計民生的重要部門；那個“小令牌”也隨著網(wǎng)上銀行、網(wǎng)絡(luò)游戲等等走入千家萬戶。
沖冠一怒為盜號
這位總裁年輕，還不足40歲，而他公司研發(fā)的產(chǎn)品，已足以媲美全球公認(rèn)的動態(tài)口令技術(shù)翹楚美國RSA公司。
他曾是名震互聯(lián)網(wǎng)的“綠色兵團(tuán)”的創(chuàng)始人之一，當(dāng)時才20出頭。隨后，他創(chuàng)辦過生活網(wǎng)站51QQ，不久被一家美國公司收購。再后來，他去香港做投行。2006年回到上海，他給自己放了一年假，做起網(wǎng)游《魔獸世界》的玩家。
玩《魔獸世界》得組織團(tuán)隊，玩著玩著，談劍峰的不少團(tuán)隊伙伴被盜號，價值上萬的裝備瞬間蒸發(fā)——他說那種心痛和無助感，就好像一個大力士突然變得手無縛雞之力。
做技術(shù)出身的他，開始思考網(wǎng)游賬號的安全問題：“賬號+靜態(tài)密碼”的安全級別太低，隨便一個木馬就能輕松盜取。放眼當(dāng)時的中國，絕大多數(shù)網(wǎng)站都和網(wǎng)游一樣，存在被盜號的風(fēng)險。
通過密碼登錄賬戶，密碼可能被盜，那用U盤數(shù)字證書？木馬也能竊取，而且用起來不夠方便。用指紋、視網(wǎng)膜識別技術(shù)？萬一放在服務(wù)器上的生物信息庫被攻陷呢？看來也不靠譜。談劍峰最終認(rèn)定，用動態(tài)口令相對最安全。
“當(dāng)時，國外銀行已經(jīng)大量使用動態(tài)口令技術(shù)?！彼忉?，所謂動態(tài)口令，就是用戶手上有一個“小令牌”，小令牌根據(jù)特殊的密碼算法，每過1分鐘產(chǎn)生一個新密碼，用戶憑這個密碼登錄。1分鐘更新一次密碼，最大程度降低了安全風(fēng)險，靜態(tài)密碼沒法跟它比。
那時這個領(lǐng)域還沒有中國產(chǎn)品，人們還津津樂道于數(shù)字證書的“萬無一失”。談劍峰決定開始又一次創(chuàng)業(yè)。
密碼非用國產(chǎn)的不可
此番創(chuàng)業(yè)，談劍峰經(jīng)歷了好幾次峰回路轉(zhuǎn)——
找投資是第一件痛苦事。2007年9月眾人科技成立時，100萬元的注冊資金是談劍峰自掏的腰包，當(dāng)時國內(nèi)投資機構(gòu)對“動態(tài)密碼”幾乎沒有概念，不敢投錢。為了公司發(fā)展，他不斷向朋友、朋友的朋友借錢，用公司股份來折價，“今年公司注冊金已達(dá)到6000萬元，全是私人投資?！闭剟Ψ逭f非常感激他的團(tuán)隊：2010年，公司資金曾經(jīng)難以為繼，一連3個月發(fā)不出工資，但沒有一個員工因此離職。
“跑衙門”是第二件痛苦事。密碼產(chǎn)品受國家嚴(yán)格管控，必須獲得一系列國家資質(zhì)，而當(dāng)時中國在這一領(lǐng)域的標(biāo)準(zhǔn)是空白。為了獲得國家相關(guān)機構(gòu)認(rèn)可，他帶著團(tuán)隊經(jīng)歷了無數(shù)次技術(shù)論證、檢驗。終于在2009年初，眾人科技拿到了國家密碼管理局動態(tài)口令類產(chǎn)品資質(zhì)企業(yè)的第一張許可證。
此后，眾人科技作為組長單位參與了國標(biāo)GM“動態(tài)口令認(rèn)證密碼應(yīng)用技術(shù)規(guī)范”的制定；去年又被工信部遴選為全國基于安全可控軟硬件產(chǎn)品云計算解決方案供應(yīng)商，在首批入選的11家企業(yè)中，它是唯一一家做身份認(rèn)證的。
“經(jīng)歷這些痛苦，都是因為我堅持用國產(chǎn)算法，但我堅持對了！”談劍峰說，很多國內(nèi)廠家為了快快來錢，都直接用國外算法和國外標(biāo)準(zhǔn)做產(chǎn)品。在他看來，這是對國家的信息安全不負(fù)責(zé)任。
“我們用的操作系統(tǒng)已經(jīng)是國外的了，難道連密碼技術(shù)也要用國外的？”他說，網(wǎng)上銀行、網(wǎng)上購物、網(wǎng)上數(shù)據(jù)存儲等，如同建在地基上的一座座房子，地基就是操作系統(tǒng)——地基里有多少暗道，我們無法控制，那就必須在房子通往地下室的門上“加一把自己的鎖”。
“以色列的密碼技術(shù)世界第一，可它不允許出口，也不允許進(jìn)口密碼技術(shù)；美國對密碼技術(shù)出口有嚴(yán)格管控，進(jìn)口則同樣不允許；各大跨國公司無論在什么地方設(shè)立分公司，都一律用本國的密碼技術(shù)產(chǎn)品。”他有點激動地說，中國能沒有采用自己的國產(chǎn)算法的動態(tài)密碼產(chǎn)品嗎？！
他堅持用國產(chǎn)算法設(shè)計加密程序，堅持自己設(shè)計安全芯片、做密碼令牌……在上海青浦，眾人科技有3000多平方米的廠房，自行設(shè)計的全自動化生產(chǎn)線即將投產(chǎn)，而這個行業(yè)的全球老大美國RSA公司還只能半自動化生產(chǎn)。
有鍵盤處就有市場
“這是未來的信用卡?！闭剟Ψ暹f給記者一張樣子有點怪異的信用卡——除了卡號、磁條、IC芯片，卡上多了個電子墨水的小顯示屏，顯示的正是動態(tài)口令。
談劍峰說，雖然做全線產(chǎn)品很辛苦，但能讓研發(fā)團(tuán)隊的靈感和創(chuàng)造力發(fā)揮得淋漓盡致。“我們通過合作，采用獨特的封裝技術(shù)，把薄如紙張的電池、晶振（用來計算時間）、芯片、顯示屏做在了一張信用卡上，而且卡片能滿足彎曲45度、可用機器清洗的國際標(biāo)準(zhǔn)?！彼嬖V記者，把核心元件做到這樣，就能把動態(tài)密碼身份認(rèn)證技術(shù)應(yīng)用于工作卡、出入證、信用卡等各種載體，市場將更寬廣。
同時，他們研發(fā)的超低功耗安全芯片還能裝進(jìn)手機、電腦等。
“我的目標(biāo)是，有鍵盤的地方就有我們的密碼產(chǎn)品?！闭剟Ψ鍖ξ磥沓錆M信心。更讓他底氣十足的，是他于2008年在全球首創(chuàng)的“挑戰(zhàn)應(yīng)答”技術(shù)。一般的動態(tài)口令技術(shù)，是用一個代表持有者身份的數(shù)值加上一個由時間賦值的函數(shù)來產(chǎn)生密碼——這還不夠安全，因為一旦密碼被釣魚網(wǎng)站截獲，黑客很可能會在1分鐘內(nèi)登錄賬戶……
談劍峰帶領(lǐng)團(tuán)隊設(shè)計出一種更安全的辦法：再增加一個用戶聯(lián)絡(luò)方的值。比如，A要通過網(wǎng)銀轉(zhuǎn)賬給B，就在動態(tài)令牌上輸入B的銀行賬號，如此產(chǎn)生密碼。這樣，銀行根據(jù)解密信息，只可能把錢轉(zhuǎn)到B的賬戶上，即使C截獲密碼，錢也不會轉(zhuǎn)到C的賬戶。
他相信，在網(wǎng)絡(luò)上，只有更安全，沒有最安全。在未來的云計算、物聯(lián)網(wǎng)、移動互聯(lián)時代，他選擇的保障信息安全的身份認(rèn)證之路會越走越寬。
