作者：南京翰海源CEO 方興（FlashSky）
版權(quán)申明：該文版權(quán)屬于南京翰海源公司，任何人或單位、網(wǎng)站轉(zhuǎn)載、引用都必須標(biāo)記南京翰海源公司。否則視為侵權(quán)。
安全研究者的安全視角
要理解安全研究者的視角，就需要脫離開單純從加密這個(gè)視角思維來看待安全，而要從結(jié)合計(jì)算機(jī)體系角度來看待安全，這個(gè)角度看待，其實(shí)更容易理解我們安全研究者的視角，其實(shí)本質(zhì)不應(yīng)該如此嗎？
計(jì)算機(jī)體系是基于代碼邏輯控制，處理信息和對(duì)外控制的系統(tǒng)，雖然核心資產(chǎn)主要落腳在信息（控制系統(tǒng)不一定落在這里），但信息只是被動(dòng)體，運(yùn)算與控制才是是主動(dòng)體?？刂剖郑畔⒁嗍?，很多信息領(lǐng)域的談it安全，只側(cè)重信息角度，以為加密是安全的全部至少大部，但我觀點(diǎn)正好相反，基于計(jì)算機(jī)控制的安全問題才是it安全核心。它很難靠加密體系解決。因?yàn)樵谟?jì)算機(jī)體系下，信息是參與條件，處理對(duì)象，處理結(jié)果。信息很難在控制處理的過程中保持加密狀態(tài)，信息對(duì)控制必須無密化，攻擊者拿到了控制，自然獲得控制處理過程里的信息和篡改流經(jīng)的信息。加密保障的是信息在存儲(chǔ)，認(rèn)證，傳輸中的安全，但難以保安全障控制處理中的信息安全
因此IT系統(tǒng)的安全，未結(jié)合計(jì)算機(jī)體系的控制視角而只是從數(shù)學(xué)加密體系的信息視角看待，是導(dǎo)致我們當(dāng)前安全體系如此脆弱的一個(gè)重大原因。
從計(jì)算機(jī)架構(gòu)角度看安全
我們現(xiàn)在通用的計(jì)算機(jī)體系，都來自馮諾伊曼。馮諾伊曼體系的關(guān)鍵特點(diǎn)如下
（1）把計(jì)算機(jī)要執(zhí)行的指令和要處理的數(shù)據(jù)都采用二進(jìn)制表示（指令也是數(shù)據(jù)，數(shù)據(jù)也可以當(dāng)指令）
（2）把要執(zhí)行的指令和要處理的數(shù)據(jù)按照順序編成程序存儲(chǔ)到計(jì)算機(jī)內(nèi)部讓它自動(dòng)執(zhí)行。(數(shù)據(jù)和控制體系、指令混雜，數(shù)據(jù)可以影響指令和控制)
（3）程序依據(jù)程序員代碼設(shè)定的邏輯，接受外部的輸入進(jìn)行計(jì)算，并對(duì)結(jié)果進(jìn)行輸出（程序的行為取決程序員編碼邏輯與外部輸入數(shù)據(jù)驅(qū)動(dòng)的分支路徑選擇）
在馮諾伊曼體系下，我們可以看到安全相關(guān)的特性
1）指令也是數(shù)據(jù)，數(shù)據(jù)也可以當(dāng)指令：意味著指令是可以被數(shù)據(jù)篡改（病毒感染）、外部數(shù)據(jù)可以做指令植入（木馬植入、數(shù)據(jù)區(qū)執(zhí)行、程序自修改）
2）數(shù)據(jù)和控制體系、指令混雜：意味著數(shù)據(jù)區(qū)域的紊亂越界可以影響控制與指令（數(shù)據(jù)處理邊界缺乏檢查越界可以導(dǎo)致代碼執(zhí)行的安全問題）
3）程序的行為取決程序員編碼邏輯與外部輸入數(shù)據(jù)驅(qū)動(dòng)的分支路徑選擇：意味著程序員可以依據(jù)自己的主觀意志實(shí)現(xiàn)功能與邏輯（后門）、輸入者通過數(shù)據(jù)觸發(fā)特定分支也是可能（后門、業(yè)務(wù)邏輯漏洞）
可以看到，基于馮諾伊曼體系下的計(jì)算機(jī)體系的基礎(chǔ)架構(gòu)里，就天然決定了安全漏洞、木馬、后門這些安全問題是難以根除的。通過漏洞、后門，攻擊者可以完全獲得控制代碼執(zhí)行和程序行為，通過木馬可以長(zhǎng)期控制系統(tǒng)行為，通過業(yè)務(wù)邏輯漏洞可以獲得攻擊者特定的業(yè)務(wù)目的，這些安全問題，最多只能用加密來部分緩解但無法根本解決。加密保護(hù)針對(duì)的是信息，因此比較適合的領(lǐng)域是存儲(chǔ)數(shù)據(jù)、傳輸數(shù)據(jù)、登錄認(rèn)證這些領(lǐng)域，但并非計(jì)算機(jī)的執(zhí)行與控制這個(gè)領(lǐng)域。
從操作系統(tǒng)角度看安全
操作系統(tǒng)是管理和控制計(jì)算機(jī)硬件與軟件資源的計(jì)算機(jī)程序，操作系統(tǒng)是用戶和計(jì)算機(jī)的接口，同時(shí)也是計(jì)算機(jī)硬件和其他軟件的接口。
操作系統(tǒng)會(huì)配合CPU的體系結(jié)構(gòu)實(shí)現(xiàn)了權(quán)限分層，一般分為2層：用戶層與內(nèi)核層。用戶層對(duì)其他軟件和用戶提供支持，內(nèi)核層為OS核心、硬件驅(qū)動(dòng)、基礎(chǔ)的關(guān)鍵核心任務(wù)。這些權(quán)限實(shí)體的劃分，也沒有具體的標(biāo)準(zhǔn)，除了OS自己配置好后，也來自于管理權(quán)限用戶的授權(quán)。
操作系統(tǒng)實(shí)現(xiàn)了多用戶下的認(rèn)證、授權(quán)與訪問控制體系。這個(gè)體系是在計(jì)算機(jī)基礎(chǔ)架構(gòu)上一個(gè)重要的安全舉措，極大地提升了系統(tǒng)的安全性，但這套體系是基于用戶權(quán)限和資源受信和控制的，他針對(duì)的是操作系統(tǒng)可以鑒別的用戶實(shí)體而非程序?qū)嶓w以及外部數(shù)據(jù)提供者實(shí)體。針對(duì)程序?qū)嶓w的授權(quán)，是由用戶判定授權(quán)的，但是程序本身是一個(gè)非常復(fù)雜的權(quán)限體系，他的代碼邏輯來自開發(fā)者/廠商，數(shù)據(jù)驅(qū)動(dòng)邏輯來自外部數(shù)據(jù)提供者的（很多應(yīng)用還支持外部用戶提供可執(zhí)行的腳本，如瀏覽器之類），但是一旦授權(quán)后，代表的卻是用戶的信用，這要求用戶對(duì)自己完全不可控制的開發(fā)者/廠商和外部數(shù)據(jù)提供者的信用做背書。用戶其實(shí)根本無法鑒別程序的全部邏輯分支是否符合自身安全需要，代碼與邏輯是否足夠安全可以抵御外部數(shù)據(jù)提供者的攻擊，很多用戶其實(shí)連自己的安全需求都是不明確的，這種情況下，通過用戶鑒別來給程序授權(quán)，以防止程序和外部數(shù)據(jù)提供者的惡意攻擊的機(jī)制，基本為零。這是當(dāng)前后門、木馬、漏洞能夠輕易繞過權(quán)限機(jī)制的一個(gè)本質(zhì)性因素。
總結(jié)
計(jì)算機(jī)體系下程序行為實(shí)質(zhì)由代碼和外部數(shù)據(jù)決定，代碼數(shù)據(jù)可混雜，決定了后門（代碼觸發(fā)行為），漏洞（數(shù)據(jù)觸發(fā)行為）的基礎(chǔ)。而os基于用戶權(quán)限的授權(quán)體系無法甄別程序行為與用戶行為授權(quán)意愿，這是后門漏洞木馬得以突破acl獲得控制權(quán)的本原。不從這些基礎(chǔ)上，讓it人員清楚我們說的安全與他們傳統(tǒng)理解的信息安全也就是數(shù)據(jù)安全的區(qū)別，想讓他們從我們視角來看安全，可能很難。
其實(shí)傳統(tǒng)安全也一樣，比如瞎子國(guó)里所有管理者都是眼瞎的長(zhǎng)官（用戶）必須依賴貼身秘書（廠商提供的硬件與軟件，實(shí)質(zhì)是程序代碼）和工作實(shí)施人員（外部數(shù)據(jù)提供者）來讀絕密文件并處理相關(guān)工作，但秘書和工作實(shí)施人員其他時(shí)間做什么的都無法監(jiān)督和控制，甚至無法鑒別今天來的和昨天來的秘書是不是同一個(gè)人，再?gòu)?qiáng)的加密，再好的對(duì)高級(jí)長(zhǎng)官的權(quán)限控制，都擋不住安全問題。
可悲的是計(jì)算機(jī)領(lǐng)域的現(xiàn)實(shí)安全問題，正如上面的情形，但是很多安全研究者、IT信息從業(yè)者者往往只認(rèn)為，解決好對(duì)對(duì)每位瞎子長(zhǎng)官的身份認(rèn)證、信息存儲(chǔ)和傳送加密，以及對(duì)每位瞎子長(zhǎng)官權(quán)限的控制管理就能解決所有的安全問題。絲毫就沒意識(shí)到所有瞎子長(zhǎng)官依賴的秘書和工作人員這里的問題。
這個(gè)論述不是用來否定加密體系的作用，是要闡述解決數(shù)據(jù)安全為主的加密體系和解決控制安全為主的現(xiàn)有安全對(duì)抗體系是計(jì)算機(jī)安全里并重的東西。前者已有理論和很多應(yīng)用并走到大多數(shù)攻擊者前面，但后者，攻擊者遠(yuǎn)遠(yuǎn)走到我們的前面。我們的很多高級(jí)安全專家，信息從業(yè)人員，還有學(xué)校教材，對(duì)安全理解有太多誤區(qū)和偏差，偏偏他們認(rèn)為自己對(duì)安全的認(rèn)識(shí)很透徹深入，認(rèn)為搞安全的不就是加密和權(quán)限控制這些已有很好方法與成果的玩意就能解決，不理解安全實(shí)際面臨的復(fù)雜性和緊迫性。
聯(lián)系客服
