互联网演进和安全挑战.docVIP

互联网演进和安全挑战 　　互联网的发展经历了40年，从70年代的“APPARNET”、90年代的“公众互联网”，一直到2000年“全球互联网”和2010年的“下一代互联网”，40年来互联网发生了翻天覆地的变化。 　　互联网面对的挑战 　　2012年网络安全事件，属于应用层的安全事件占到1/4，可以说每个程度都可能会发生互联网信息安全的问题。我们希望下一代互联网是安全的，希望它能支持移动性的普适计算，能跨越物理空间和自址联网。 　　我们现在面临地址的不足，IPv6的设想性是美好的，但端点的安全和协议的质量是大问题，早在IPv6之前就有过很多比IPv6更安全的协议应用，都采用了加密的办法，他们相对IPv6来讲并不差，但效果却并不好，仍然面临种种攻击和安全挑战。 　　在有些使用了IPv6的场合已经有报告发生了安全事故，像智能电网，美国联邦航空管理局的下一代空管系统。IPv6的设计是在十多年以前，发生在互联网主要问题暴露之前。IPv6的设施目前还不如IPv4成熟，而且IPv6在利用具有连接共享的漫游PC作为无线通信时，还会带来一些新的安全挑战。 　　虽然IPv6有一些安全问题，但它并不会比IPv4差，所以从这个意义上讲，中国过渡到IPv6也是个必然的选择。但IPv6的安全问题仍然需要我们加以特别重视。 　　DNS是我们上网所必须要遇到的，但DNS本身仍然存在着很多安全漏洞。 　　例如，服务器数据受到病毒破坏，而用户不可能知道DNS的应答来源和数据是不是正确的。黑客可以在DNS上注册获取用户的IP地址反向映射，使用户进入他们假冒的网站，带来DNS安全性的漏洞，所以现在都提倡要使用DNSsec，这是域名系统安全协议，它的目标是使用到加密的算法，对DNS进行数字签名，提供信息的完整性。 　　当然DNSsec也会带来一些安全挑战，因为签发目前是由目录服务管理实体来进行的，根区域目前还在美国ICAN来管理，所有到CN的域名解释和安全域名认证不掌握在我们手上。如果一个私钥被破坏了，目前没有能力判断它是不是错误的密钥，这也是值得我们安全领域专家来研究的问题。 　　未来互联网的技术发展 　　互联网要支持多种多样的业务，而物理层是个统一的设备，我们现在采用分片的、虚拟化的、可编程的方式，使物理层按照不同的业务需求，逻辑上分为不同的区域，物理层上是一个网络，逻辑上根据业务不同组成了不同网络，通过这种方式实现网络虚拟化，可以共享物理网的设施，但逻辑上是隔离的，是多个异构的虚拟网能共存在一个基础设施上。 　　下一代互联网有两条路线，一条是演进型的路线，基本在现有网络做一个大的改进，但是保持后向兼容，已经提出了一些身份和位置分离、命名数据网、内容中心网。另一条路线是希望重新设计一个互联网，和原有互联网不兼容。两条路线的差别是要不要和互联网兼容，但也不是完全对立的，技术可以互相利用。 　　当然，后IP本身是革命性路线的一种，但绝不是全部。现在比较热的一个词是软件定义网SDN，具有节点控制功能、业务控制功能，传统路由器根据IP地址移居最简单的优先路径算法来算，不考虑全局的优化。 　　但是现在随着大数据的出现，我们可以知道互联网流量的突发性在时间、空间上都有很多不确定性，因此，一个刚性的路由网络很难支持未来互联网的发展，所以我们现在提出软件定义网，即把传统路由器的节点控制功能脱离出来变成一个网络合成操作系统，把应用控制功能抽上来，应用层变成比较纯的传送与转发功能，通过网络操作系统的集中控制，我们可以根据业务需要和流量突发情况来控制这个路由器，实现全网优化，这种方式叫软件定义网，它能适应大数据时代的数据流量动态性。 　　但网络控制系统和网络控制器会成为将来信息安全被攻击的首要目标，因此需要把原来防护路由器本身的安全提升到网络安全系统和网络控制器，要加强它的安全功能。 　　与路由器相比，光层不容易受攻击，但光层和电层交换需要引进信令，信令系统也就会带来新的安全问题。在移动互联网应用时，当我们从一个端走到另一端时，位置变了，身份没有变，因此，我们希望未来的互联网分离身份与位置，位置在网络层表示，身份在传送层表示，甚至在应用层表示。这样的好处是可以避免我们通过位置找到身份，或者通过身份找到我们的位置，这就减少了根据位置窃取身份的风险。但这对用户的追随和对网络安全的溯源难度也加大了。 　　下一代互联网的目标 　　随着大数据发展，驱动网络扁平化，省与省之间的网基本是直连，对网络的安全也是有好处的，增加了迂回路由。城域网的体系也发生了变化，大数据时代，数据存储在大量几何分布的各类服务器之中，用户一个搜索请求、查询可能涉及到多个服务器，服务器之间的信息交换远多于客户到服务器之间的信息交换。 　　云计算能力的分布化、虚拟化、服务化是云计算的技术基础，但安全性、方便性是云计算广泛应用