落实国家网信领域军民融合发展战略全面推动密码应用与创新发展

◎国家商用密码管理办公室副主任 霍炜

习近平总书记指出，网信军民融合是军民融合的重点领域和前沿领域，也是军民融合最具活力和潜力的领域，要推动形成全要素、多领域、高效益的军民深度融合发展格局。密码是网络安全的核心技术，是网络信任的基石。全面推动密码应用与创新发展，推动密码与网信领域军民融合发展，构建以密码为基石的安全新秩序，是助力网信军民融合向高水平、深层次推进的关键环节。

一、深刻认识网络安全的现状和趋势

当今，数字化、网络化、智能化深入发展，网络空间与物理空间的边界正在逐渐消融，传统网络威胁与新技术新业态带来的新安全威胁汇聚交织，网络攻击的影响远远超出数据泄露、设备宕机等传统范畴，往往会造成物理世界的重大损失，造成人们生命财产的巨大损害，产生比传统网络时代更广泛、更深远、更难以预料的破坏力。

霍炜副主任在2018国家网络安全宣传周网络安全军民融合发展论坛上作主旨演讲

第一，互联网开放的特性和安全设计不完善是网络不安全的根源。从先天设计看，互联网设计之初，更多考虑计算和通讯问题，安全考虑不足，更没有预测到今天的攻击技术，这是造成网络安全风险的根源。例如，TCP/IP协议采用明文方式传输，导致口令等敏感信息可能会被泄露；对源地址不要求真实性保证，导致源路由选择欺骗等缺陷。从后天发展看，大规模互联互通为攻击者提供了更多路径，网络攻击频率、规模和复杂性、精准性持续上升。网络的广泛脆弱性和攻易于防的形势，使得被动式防御、局部式治理、增量式修复收效甚微，已不能适应多变的网络安全形势。

第二，网络空间向物理空间扩张不断诱发安全风暴。海量设备、业务被引入网络空间（CISCO预计到2020年将有263亿台设备连接），如果缺乏有效的安全控制，攻击者就可以破坏与网络相连接的物理基础设施。万物互联时代，攻击者利用云计算的分布式算力、人工智能的强大分析能力等进行破坏，网络攻击影响远远超出数据泄露等传统范畴，直接影响运营、制造乃至生命安全。网络安全专家Bruce Schneier感慨，相比于被人偷了数据，我更关心血型数据被篡改，汽车刹车突然失灵，以及一切可能影响生命安全设备的攻击。我们现在的安全失效了，必须建立一个足够强大的安全防御体系。

第三，供应链风险日益成为网络安全的巨大隐患。首先是信息产品和新兴产业安全设计能力不足。许多软硬件提供商和服务运营商缺乏足够的安全设计。以云计算、大数据、区块链、人工智能等为代表的新兴信息技术与实体经济深度融合，孕育出包括数字货币、智能交通、智能家居、智慧城市、智慧医疗和智能工业与制造业等新兴业态，多数业态未将网络安全纳入统筹设计，安全防护严重滞后于产业发展。其次是核心技术受制于人成为最大软肋。我国网络安全防护水平与信息化发展不对等，核心技术不自主增加了供应链安全风险。对于国外信息技术产品的漏洞、后门不掌握，就难以做到安全可控。

二、构建网络空间安全密码保障体系

网络安全为人民，网络安全靠人民。网络安全不仅是技术问题，是体系安全、全域安全。从军民融合战略部署来说，从构建安全可控信息技术体系来说，关键核心技术不自主，就不可能实现可控，自主解决了技术产权上的可控，但解决安全问题还是需要杀手锏技术，那就是密码。以密码系统设计和密码安全测评为核心的商用密码技术，是构建网络空间安全保障体系、实现国家网络空间安全自主可控的基础。利用密码在安全认证、加密保护、信任传递等方面的重要作用，构建以密码为基石的安全可控信息技术体系，能够有效消除或控制网络安全问题，实现被动防御向主动免疫的战略转变。

第一，密码支撑构建“网络安全协同生态圈”。密码在网络安全方面发挥保底作用，是最基础的防线。网络安全是体系安全、全域安全，通过合规正确使用密码，能够系统有效解决OSI网络安全架构的“鉴别、访问控制、机密性、完整性、抗抵赖”5种基本安全需求，形成包括网络基础资源、信息设施、计算分析、应用服务、网络通道、接入终端、设备控制等的全体系平台安全，从底层构建可控有效的安全生态圈。例如，IPv6中内置基于密码的IPsec协议，可提供端到端安全传输，提供真实源地址验证，实现网络空间追踪溯源。当前，物联网、人工智能飞速发展，渗透到各个领域的云计算共同构成了强大算力，如果这些算力不能有效管理、合法利用，后果将难以想象。通过密码可以建立信任体系，有效保证算力被正确的实体、以正确的方式使用，并为应用结果负责；通过密码可以保护算法的安全迭代，保证算法执行正确。

第二，密码助力打造“数据安全共享价值链”。首先，建立基于密码的数据安全防护链。利用基于密码的身份鉴别、信任管理、数据加密、密文计算、数据脱敏等措施，实现数据产生、传输、存储、处理、使用、销毁等全生命周期安全。其次，建立基于密码的数据共享信任链。利用基于密码的数据标识、数字签名、数字内容和产权保护、安全交换等技术，构建真实不可抵赖的“数字契约”，打通数据融通的“信任瓶颈”，这是实现数据“三融五跨”战略的技术基础。三是，建立基于密码的分工协作信任链。利用密码有效保证网络协作平台及参与方身份的真实性，上下游数据的完整性和来源真实性等，及时定位追溯协作链条上的任何一个环节。因此，基于密码构建统一的认证体系和数据交换共享安全体系，这是军民协作和信息资源共享的信任基础和安全保障。

第三，密码双向促进“信息技术发展创造力”。一方面，围绕密码的攻防驱动技术创新。例如，为破解RSA密码算法而提出的Shor算法，推动了量子计算应用由理论变为现实。另一方面，技术创新倒逼密码创新。云计算为同态密码理论创新注入强大动力，量子计算使得抗量子密码算法设计成为新的发展方向。抓住新兴技术对安全、对密码的迫切需求，促进新技术与密码深度融合、协同创新，是我国核心技术变道超车和网络安全水平迎头赶上的重要机遇。

三、推动网信领域军民融合密码应用

打造军民共研、共建、共防的网络空间命运共同体，是网信领域军民融合的目标。密码在这方面有成功经验和广阔空间。从历史发展看：围绕密码的攻防一直是军民协同创新最活跃的领域之一。二战时期用于破解德军恩尼格玛密码机的图灵机，催生计算机的出现，现在已广泛应用于各行各业。密码在我国早期用于军事通信，后来逐渐商用，如今广泛应用于金融、电力、交通等众多民用领域，发挥了不可替代的重要作用，并且通过商用密码在“北斗”、卫星通信等方面的应用，滋养和反哺国防和军队建设。从目标定位看：维护国家关键信息基础设施安全，构筑综合防护体系，突破关键核心技术，是密码应用与创新发展规划、网络强国战略、网信军民融合战略三者的共同目标。从现实做法看：《瓦森纳协定》、美国出口管制目录等均将密码列为典型军民两用物项。世界主要发达国家高度重视密码安全的整体性安排和军民资源整合。洛克希德·马丁等军工企业都有顶尖密码人才和安全设计能力，并与一些知名公司密码团队有密切合作。我国在密码人才军民交流合作方面也有优良传统。从未来趋势看：网络空间的高水平对抗将是密码的对抗，密码将与许多基础性、前沿性、颠覆性军民两用技术深度融合。物联网、量子计算、天地一体化网络等将为密码与信息技术的融合、军与民的融合提供广阔空间。

落实国家网信领域军民融合战略部署，对于国家密码管理部门来说，就是要履行密码应用和管理职责，以符合国家密码管理政策、法规和标准的密码技术、产品和服务为基础，以系统性、整体性和协同性为原则，推动密码与网信领域军民融合战略的深度融合、创新发展，助力构建一体化的国家战略体系和安全能力。

第一，以安全支撑强融合。首先要夯实基础。健全电子认证服务体系和密码基础设施，为网信领域军民融合提供统一的认证基础设施和密码服务基础设施，加强军民共用基础设施的密码保障体系建设。其次要加强应用。通过密码在军警民联合指挥控制、军地信息资源共享交换、军民两用通信、军地信息传输等方面的应用，进一步增强这些网络和信息基础设施的数据安全、控制安全、通信安全和互信协作。

第二，以科技创新促融合。要面向应用需求，积极布局与新兴技术、新兴金融服务业态的融合，布局与数字农业、工业互联网、智能制造、服务业智能化等产业数字化重点方向的融合，布局与基础信息资源共享、军民教育、军民卫生健康、军民社会保障、军民就业服务等信息惠军惠民新方式的融合。要加强协同创新，构建以密码技术为核心，统一、高效、开放的网络安全军民协同创新体系，带动关键核心技术突破。要打造产业生态，着力构建军民融合产用创新平台，研究制定密码领域的军民通用标准，推动密码技术、人才、信息、管理等要素的军民双向转化，在产品研制之初就把密码设计进去，同步提供安全能力。要充分利用军民共用网络靶场和优势力量，在高水平的网络对抗和密码对抗中提升密码设计分析能力和网络安全水平。

第三，以体制机制保融合。首先要把住制度关口，制定出台网信领域军民融合相关的法规、标准，把国家密码应用政策要求落进去；密码管理法规标准也要统筹落实军民融合相关要求。其次要把住项目关口，将密码应用要求纳入到行业领域的军民融合规划中，明确国家关键信息基础设施和党政军重要信息系统的密码应用要求，并在立项时把住关口，确保新建网络和系统密码应用的合规性、正确性和有效性。

第四，以监管测评助融合。首先要加强测评。注重网信军民融合领域安全体系构建和密码防护的系统性、整体性、动态性，通过密码产品检测和密码应用安全性评估，形成有依据、有监管、有评价的管理闭环。需要指出的是，标准计量军民通用化是军民融合的基础性工作，密码测评也是统筹军民检测认证基础设施的重要方面。其次要加强监管。通过网络安全和密码等法律法规，明确网络运营者和信息产品提供者密码应用的主体责任，加强网络安全密码应用检查，推动密码在军民融合重要领域、重点行业、关键系统、核心部门的广泛应用；通过军地合作，建设完善密码基础设施、态势感知平台，支撑国家关键信息基础设施监测预警、预警信息军地共享和网络安全应急响应。

军民融合，密不可分；信任是基，安全为本。网络安全离不开密码保护，军民融合更需密码支撑。衷心希望网信军民融合相关各方与商用密码从业者一道，凝聚起支持融合、参与融合、推进融合的磅礴力量，以密码应用与创新发展为基础，以密码领域军民融合为契机，共塑网信军民融合新局面，共建网信军民融合新格局，共赢网信军民融合新未来！