下一代网安全技术的研究(上)

它是以不危及国家安全和不造成国家安全成本过大为原则的。由于不同用户群对个人私密性的要求不同，因而不可能要求公众信息通信网去满足所有用户对个人私密性的要求。公众信息通信网只能满足个人私密性的基本要求，更高的用户私密性要求将由用户自己去解决(但要经相关部门批准)。在传统电信网中，用户数据加密是有规定的，普通的用户数据是不准加密的，商密用户、普密用户和绝密用户可以使用密码技术来对用户数据进行加密，但必须经过相关部门批准才能使用。用户终端与用户终端之间的保密通信装用终端保密机，用户群与用户群之间的保密通信装用信道加密机，加密算法及密码必须报请相关部门批准备案。

　　目前，加密技术用得很滥。由于Internet的不安全性，无原则的突出个人隐私要求，导致加密技术到处滥用。尽管国家相关的管理部门都还存在，其职责也没有变，但目前在Internet用户终端与用户终端之间的保密通信、用户群与用户群之间的保密通信无节制的滥用，加密算法及密码甚至原封不动用国外的，其主要原因是目前网络安全和用户信息安全的职责和界面被混淆得非常严重。当然，Internet网络安全的能力太低，是导致用户滥用加密技术的根本原因。这种现象长期持续下去是十分危险的，特别是IP网已经成为信息基础设施，成了国家的命脉，安全问题就越来越突出了。

　　国家安全对任何国家来说都是头等大事，在我国是如此，在其它国家也是如此(美国更是如此)。目前，各国对通信信息网都提出了一条要求，而且是所有运营网都必须提供的，这就是法定的中途截取功能(Lawful Intercept)，以确保国家信息通信的安全。当加密技术被滥用后，这一条实现起来将非常困难，至少会大大增加安全的执行难度和加大安全的执行成本，从而对国家安全造成极大的威胁。由于概念上的混淆，目前在管理上也是混淆的。当务之急是，如何做到管理职责明确，各管其事、各司其职，同心协力把事情办好。在这一点上，传统电信网中的安全模型值得借鉴，网络安全和信息安全的概念界定清楚十分重要。

一、概述

　　传统电信网是一个安全的网络，一个可信任的网络。用户在使用传统电信网时有极大的安全感，不会有随时随地都可能受到安全威胁的感觉。在长期使用实践中，传统电信网(包括PSTN/ISDN和全部电信数据网)的确也没有出现安全方面的问题，用户可以放心使用。

　　从上世纪90年代中期以来，Internet迅猛发展，包括传统电信业务在内的各种电信业务迅速IP化，终端设备智能化程度愈来愈高，网络规模愈来愈大，网络安全问题日益凸现出来。而由于Internet网络与业务相分离的特点，Internet的不管理，Internet实际上对业务的不可控制性，Internet的网络设计理念，更进一步恶化了网络的安全性。目前，安全问题已成为压倒一切的大问题，一切为了安全、安全就是一切，似乎成了金科玉律，只要在任何一件事之前挂上一块安全的牌子，一切都会畅通无阻。但实际上，目前对安全问题的看法很多是值得商榷的，有的甚至是完全错误的。而且在很多场合下，一方的所谓"安全"，将导致另一方的不安全，因而有必要对安全问题进行一番深层次的分析，理出头绪，找出解决办法来。

二、网络安全与信息安全

　　网络安全与信息安全是目前用得最为广泛，也是最容易混淆的两个术语。有人认为，网络安全中包括信息安全，因为网络中不论是传送用户信息、控制信息，还是传送管理信息，网络安全中必定包含信息安全的内容，必定采用相应的信息安全技术，故网络安全中包含信息安全。另一方面，也有人认为，信息安全是一个泛指的内容，网络安全只是信息安全的一个分支。从表面上看，这是两种完全对立的观点，但从本质上看则是"你"中有"我"，还是"我"中用"你"，是你管我还是我管你的问题。两者分不清，导致管理部门职责不明，在采取相应措施时势必没有针对性。

　　应该说，网络安全和信息安全是两回事，网络安全是从网络出发研究安全问题，从而解决网络上的安全问题。信息安全则主要涉及信息在传输、存储和处理过程中的安全问题，一般来说这个信息指的是用户信息，信息安全指的是端到端的用户信息安全。网络对用户信息应该是透明的，也必须是透明的。

　　在传统电信网中，网络安全和信息安全就是这样界定的。这里所说的传统电信网包含电话网和电信数据网。由于界定清楚，管理部门的职责是明确的，网络运营商及其主管部门负责网络的安全问题，确保网络是安全的、可信任的。国内安全部门等相关机构负责信息安全问题，并监管密码技术是否被滥用，防止危及国家安全。

对目前的IP网及下一代网络