科技猎《网络安全法》通过审议后 腾讯百度滴滴京东首谈网络安全
DoNews11月10日消息（记者 翟继茹）在2016第二届中国互联网安全领袖峰会（CSS）上，开场前主持人少有的提醒在场与会者场内共有27个安全逃生通道及它们的具体位置，由此见其对安全的重视。
此时，坐在台下准备分享互联网安全领域中最新技术与观点的嘉宾有国家发改委量子保密通信京沪干线工程总师陈宇翱、高通副总裁Alex Gantman、Google AlphaGo负责人Demis Hassabis、腾讯公司副总裁丁珂先生、百度安全事业部总经理马杰、IBM Security全球首席资讯安全架构师Chenta Lee、京东首席安全专家Tony Lee先生、滴滴出行信息安全战略副总裁弓峰敏。
这届CSS的一个重要背景是，3天前《网络安全法》通过审议，参加此次大会的国内互联网巨头企业是在新法通过审议后的首次发声，从他们的演讲与分享中，我们可以间接观察到在新的网络安全环境与法律规定下，未来他们将如何发展?
这是腾讯第二年举办CSS，腾讯副总裁丁珂说，腾讯拥有8亿多用户，而如今的网络安全问题不仅是商业问题，更是国家、企业和大众的安全问题，我们要一起探讨如何保护自己和身边的人。他表示跨界融合与网络新技术的出现催生了网络攻击的变异与升级，安全问题的威胁程度日渐加重，开始超越网络与实体的界限，国家与区域的界限，上升为无国界的全球问题。
每年阿里会举办阿里安全峰会，360也会举办中国互联网安全大会。其间又怎样的竞合关系？丁珂说互联网企业共同的竞争对手是黑产，是网络威胁。CSS平台的参会单位来自全球，不设界限和门槛，我们希望推动的是覆盖全球的安全生态。
以下为DoNews整理出的部分演讲精华：（小标题为记者根据发言内容拟定）
数字空间和信息空间中的进化论
演讲嘉宾：腾讯公司玄武实验室负责人于旸
我们今天同时生活在两个空间，一个是物理空间，一个是数字空间，这个观点应该是现在普遍的被大家所接受了。
这是因为这么多年过去，我们在物理空间和数字空间这两个空间中的活动，我们对这两个空间的依赖逐步的是从物理空间向数字空间所转移，而这两个空间的交融也变得越来越深入，数字空间对人类的影响越来越大。
我们说在数字空间创世的早期，安全问题也大多数是一些微观层面的问题。
早期的安全问题往往是由什么而引起的呢？是由一行一行的代码，比如说某一处代码有问题，某一处配置文件有问题，或者是某一个变量设定的有问题，是一些微观层面的问题形成了微观的安全问题，影响了一个微观的对象。
今天的这些安全问题可能已经不再是某一行代码的问题，或者说某几处代码之间的问题，而是一个协议和一个协议之间的问题，或者是某些协议共同作用发生的问题，甚至是一个设备和一堆设备之间的问题，一个系统和一个系统之间的问题，而且甚至于这些对象它们相互之间看不到特别明显的关系，这些其实就是进化的结果。
传统的那些安全问题是否还存在？就像今天地球上仍然存在单细胞生物一样，这些问题仍然存在，但是新的问题已经进化出来了。
有一个非常典型的例子，很多的电商系统都犯过一个错误，当我们去一个电商的网站购买一样东西的时候，按照一个设定的价钱去付款，在付款的过程中会进入到交易和结算的系统，交易结算的系统和电商系统通常是两个系统，甚至于是隶属于不同的公司所有。
这两个系统在发生关系的时候，这个关系之间就有可能发生问题。交易系统的设计是由一组人员去完成的，而结算支付系统是另外一组人员去完成的。
无论他们之间怎么去沟通这个结果，这种沟通很有可能是不能达到百分之百透彻的，这也就导致了这样一种情况，攻击者可以在购买完成之后结算的时候将交易金额修改成一个非常小的数字；而电商系统只是判断了这个交易结算系统返回的信息是否交易成功，他并不知道这个交易数字到底是多少，就是说他不知道攻击者购买一台冰箱到底是花了2千元还是花了1元，这个问题其实是很多的电商网站都犯过这样的错误。
还有一个例子是比较新一些的，前几年很多运营商向用户提供了一种叫做短信保管箱的服务，这个完全就是便民措施，是完全正常的一种业务。
但是这种业务实际上引起了一个什么样的后果呢？他破坏了我们用手机短信作为第二验证因子的这样一种安全设计。
因为我们说手机短信在以前是被认为相对可信的另外一重因子，但是当运营商把短信存储到服务器上，用一个密码就可以去查看的时候，实际上就已经把我们用手机短信形成的这样一种所谓的双因子又变成了单因子，本来是出于一个完全美好的初衷设计出来的业务，遭遇了短信验证码之后，被网络犯罪集团用来窃取用户网银上的资金，已经发生了很多起了。
最后的结果是什么？运营商纷纷最后取消了这个业务，这是运营商和银行两个看起来完全没有关系的业务，最后混合产生出来的这样一套问题。
我们看整个的过程里面，包括我们刚才举的这些例子，看起来谁都没有犯错误，没有人犯错误，没有人故意的，甚至看起来根本就没有人犯错误。
但是这些问题纠结在一起之后，它就变成了我们将要面临的新的安全问题。
所以我们说，今天信息安全和网络空间中其他的对象一样发生了进化，我们抛开软件或者硬件这样的视角，将网络空间中的这些我们与之进行互动的对象抽象来看，同样可以发现这些对象之间的安全问题如同生物进化一样，在今天他们进化成了一种非常复杂的形态，而这种形态的安全问题用传统的方法是难以进行发现、分析和防御的。
相应的我们也必须随之进化，就是作为防御者，作为安全研究者，我们需要随之进化。就是当一切都进化的时候，你不进化是没有办法去应对这种新的情况的。当然这种情形是一种非常大的挑战，但是我相信这里面也一定蕴含着非常大的机会。
背黑锅不重要 关键如何保护用户信息
百度安全事业部总经理马杰
在大会上午的圆桌会议中，在谈到如何做国际安全交流时，百度百度安全事业部总经理马杰表示以百度一家之力很难独善其身，很多用户误解百度泄露了用户个人资料，背黑锅不重要，重要的是如何增加安全合作，解决问题。
马杰说，“百度本身来说我们是信息的搜集和分发者，我们想做到更便捷的连接人和信息，这里面我们觉得是很简单的，只要不泄露用户的信息就好了，但后来发现很复杂，用户理解的我点击出来的结果，连接的那边的问题百度是有责任的。
既然客户想要，那我们就多做一步，这就面临着我们面对一个巨大的生态里有纷繁复杂的各种各样的东西。比如我举个例子，大家听到可能都会会心一笑，是不是有人打电话给你推销什么东西，网络金融或者房子，你问他说，这个信息你从哪里来的？他说，百度告诉我的。
这是我们面临很大的问题，现在很多网站会窃取用户的隐私，包括电话号码、e-mail和QQ号，窃取完后有第三方公司专门做这样的工具提供给网站帮助他们窃取用户的隐私，他们窃取的出发点很简单想提高营销的成功率，提供工具的公司就会说你用我们的东西拿到信息后，如果用户问你你就告诉用户，百度告诉你的就好了。
我们莫名其妙的背了黑锅。这不重要，但这个事情要怎么解决？我们对所有的网站要做检测，我们要发现这里面如果有窃取用户隐私的东西，我们要在搜索的基础上标注出来，你这个有风险。
很快他们就开始加密，变形，开使用各种方法去隐藏。所以，我们变成了发现要面临所有黑产的手段，因为互联网是整个结果，我们希望用户获得的结果是安全的，我们就要做出努力。
我们面对这样漫长的战线时，我们难以独善其身，无论是技术无论是安全威胁的信息，以及对黑产的理解都是需要互通有无的。这里面的专业垂直点太多了，我们特别特别需要和大家的交互的。”
针对人的新安全范式
演讲嘉宾：弓峰敏（滴滴出行信息安全战略副总裁）：
我主要和大家分享的是不是有一个范式的改变，影响到我们怎么做安全，可能会牵扯到我们每一个人。
首先，现在冷酷的现实。除了刚才我们提到的孟加拉银行的款被转走的状况。更有意思的因为一些个人受到要挟，欺诈行为，导致他们做出自杀等行为，这些状况的发生是很可悲的事情。前面大家提到过讹诈软件，讹诈软件的出现，不光影响到企业，而且影响到个人。
我们做安全这么多年，难道就没有安全的工具吗？我们在座很多人也是做安全的，但去看以前我们用的安全工具，为什么没有成功的帮助我们防御这些事情？从扫描器一直到各种入侵的检测工具，一直到下一代防火墙，终端上的防毒软件，各种场景下他们每一个都有相当严重的失败的场景。所以，你去总结的话，某种程度上，可能我们在防御的方法技术上有一个很严重的大的漏洞，这就是我们想和大家探讨的，刨根问底一下到底发生了什么。
第二，什么是新范式？
我们做防御的人，最早在终端上做的是防毒，当我们用网络用得很多的时候，如果我们在网络上做防御是有网络效应的，对于我集中管理很有效，如果一个地方能把你搞定，就省了很多事。
今天有很多的终端，我们用了很多基于网络的工具，大家今天听到我们关于云的讨论，云的出现确实很多方面，从支持现代的IT技术和商业需求上，它有很多的优点，但云技术没有从根本上带来一个全新的安全问题，它可能只是应用场景和部署的问题。
但做工具的人往往犯了一个错误，看到大家当今最敏感的问题，我们就冲上去解决这个问题，我们往往做一个单一的全新的产品解决这个问题。所以，这时候你看蓝色的盒子，还在很大程度上处在相对孤立、各自为战的状况。
如果我们从安全工具开发的防御模式上，不能去考虑基于生态的防御，那么我们的仗没有打的时候可能就输了一半。
这就引入了安全保卫的范式的改变。从旧实践里，我们总是盯着漏洞，它是一个中间环节，我们知道漏洞也不知道它下面要干什么。我们就冲动了去解决漏洞的问题，后面还有一个概念，什么东西我可以把你防御掉，所以我不需要后面担心了。
从方法上，从我们的部署上都可能是一个单一化单点的状态。在新范式下，我们得到了教训后，我们一定要以业务为目标，它的最终目标要么是和你的数据、要么是业务流程造成破坏。这时候我们再追求的不仅仅是盲目防御，我要不间断的做监控，能够尽早在第一时间感知到，然后能够做出反应，要把人重新拉到这一保卫的环节中来。
在新理念下我们做基于生态系统的安全防护的要点：一是对目标的认知，一定是以业务为中心，你要知道你需要的是什么东西，要第一时间对一个生态做以感知，在这个基础上再做应急的处理。因为大多的场景你有足够的时间把它搞定，并不是没有一个预防的概念就搞不定它。
怎样做一个最佳的安全事件，显然这个时候我们提到的用的工具和部署流程都去支持一个概念，就是我要做不间断的监控、排查和及时处理的概念。
这里面对产品工具有具体的要求，比如我希望我所用的工具一定能够支持威胁情报共享的模式，里面重要的就是API的概念，任何环境中我对工具的应用，有了API的概念让这个工具集成到我的应用过程中就可能有最大的灵活性。一定在一开始就选择一个流程，按照这个流程做，再不断的做闭环的更新。
今天已经到了一个时代，我们不再说网络安全或物理空间安全，因为这个时代网络安全和物理空间安全对每个人来说已经紧紧连在一起了，所以为什么说每个人应该有一个安全的意识，进入到生态系统的安全的防护和自我保护的活动中来。
当物联网遇上AI
京东首席信息安全专家Tony Lee
双十一在即，电商安全成为关注焦点，在CSS大会论坛上，京东首席信息安全专家Tony Lee简短介绍了京东在物联网与AI相遇时，网络安全将如何发展。
“很了解电商的痛点，我给大家讲一讲有意思的事情。前段时间，我在尝试用京东的智能冰箱，很有意思，它能够智能的看到你的冰箱里有什么样的食品，什么时候过期，甚至可以上网订购这样一些食品。
所以我们看到越来越有意思，从一个货品生产的园地甚至国外的一些地方，怎样报关进入中国，通过我们的仓储物流、智能硬件带入我们的家中。现在大家都习惯了网上购物，觉得是很自然的事情，但有时候从某个角度看是难以置信的事情。
大量的原来的自然的边界被去掉了，里面大量的信息在流动，甚至刚才你说到很多商家，在京东上非常棒的一些商家，里面还有一些物流等等，我们的信息在流动过程中怎样保证安全是巨大的挑战。
IoT本身，包括美国智能硬件DDoS攻击，瘫痪了半个互联网，这样的事情中国黑客肯定没有闲着，也想着怎样模仿这件事情，所以这种事情迟早也会发生。
我们在IoT的安全方面又能做点什么？因为IoT的设备很多厂商在做，不一定有很强的安全能力，这个事情怎么办也是相当令人担忧的事情。
我最近也在用亚马逊的机器人，京东也有一个叮咚，也是差不多的音响机器人，我每天用中文和京东的聊天，英文的和亚马逊的聊天，真的感受到AI快要来了，这是实实在在可以用得上的。以后AI连上了物联网，安全又会是什么样的，这不是一家公司能够解决的问题。
AI连上物联网，方便是肯定会展现出来，但是我觉得安全问题通常会滞后一点点。我感受到IOT是一个机会，就是原来在我们的互联网上面很多这种技术之间都没有安全性的，所以做起来非常困难。也许在IOT的领域里面，包括协议、芯片，整个跟智能云的交互等等，也我们能够重新定义这个安全应该怎么做，一开始把安全做进去我觉得也是一个机会。
前沿科技——量子通讯不必再担心窃听
演讲嘉宾：国家发改委、中科院量子物理与量子科技前沿卓越创新中心、京沪干线的总师陈宇翱教授
量子力学在上世纪建立以来催生了和生活相关的科技，包括晶体管、激光、巨磁阻等我们现在生活离不开的一些技术。回头来看这些应用都是从上至下的过程，是对宏观量子效应的被动观测的应用的展现。
随着科技的进步和发展也产生了一些瓶颈。以信息科学为例，尽管目前人类对于计算机的能力需求与日俱增，某种程度上是贪得无厌的，但全世界的计算机的计算能力很有限，加起来也没有办法完成2的80到90次方数据的搜索。
我们用的密码只是0和1，不用别的，当你的密码达到90位的时候，全世界的计算机加起来要扫描一年才能勉强扫出来。另一方面，刚才也讲到了信息安全的一个瓶颈，我们无所不在的斯诺登事件告诉我们有芯片有后门，包括去年《纽约时报》报道NSI监听google和亚马逊的数据中心，本身它不需要监听数据中心，只需要对传输线路监听就可以获得所有的信息。
随着我们计算能力越来越高，我们所有传统的加密体系都基于计算的复杂度，随着计算能力越来越强，一旦有量子计算，所有依赖于计算复杂度的传统的加密算法原则上都可以被破解。而在过去100年的发展中，非常有意思的是，量子力学在发展中已经为解决这些问题做好了准备。
量子通信，包括了量子密钥分发和量子隐性传态。利用量子的方式传递密钥用于安全经典的通信，而量子隐性传态当你需要传送的东西是量子态的时候怎样传送。
量子的特点是不可分割，单光子不可分割，一旦有人试图看它的时候它会被改变，我们可以利用单光子构建这样一种通信方式，一旦有人窃听一定会被发现。
接下来我们怎么做，如果想要建立密钥，建立保密通信，先发密钥再检查这个密钥有没有被窃听，确保这些密钥没有被窃听后我再来通过密钥加密信息，这个信息从公用的信道传统光纤上传递就可以了。
这是一个原理上无条件安全的通信方式，它是基于量子力学的基本原理，从根本上解决了信道之间的安全性的问题。本身这个密码完全随机和一次一密的安全性是相容在上个世纪50年代就证明了。
量子密钥分发的安全方式也是2009年被证实在数学上证明了，只要因果率成立，只有信息不超过光速安全性就可以保证。
在城市化量子通信方面，我们从2008年构建了第一个全通型的五个节点的网络，60周年阅兵时构建了量子热线，合肥城域网2012年构建了46个节点的网络，在这个网络的基础上我们又进行了升级，在2013年济南网构建了50多个节点的网络，90多个用户已经24×7无故障运行超过了2年。
目前量子信道已经通了，设备在我们室内做了超过半年的无故障运行的测试后现在正在上线，合肥到上海段马上要开通，其他的陆续要上线，应该在年底会全部建设完成。
国际竞争也是非常激烈，国际上也是一样，从政府主导，美国国防部门2013年把量子信息列为六大领域之一，今年5月份美国科学基金会也把量子信息作为未来六大科技前沿之一。欧洲也是旗舰计划，希望未来五年内支持10亿欧元的项目。
我们知道企业也开始参与，比如google开始参与人工智能实验室，微软、IBM都开始了量子计算方面的研究。Battelle公司正在建设全美商用量子通信网络，希望把facebook、google等大公司的数据中心连起来。
做一个小结，曼哈顿计划研制出第一颗原子弹影响了世界的格局，量子信息现在是不亚于曼哈顿计划的领域。第一代量子力学在上世纪给我们带来了巨大的影响，我们希望新一次的量子革命中，我们能够从之前的跟跑者变成在新的量子革命中的领跑者。
想做“坏事儿”就会被AI发现
演讲嘉宾：IBM Security全球首席资讯安全架构师 Chenta Lee
今天很荣幸在这里跟大家分享人工智慧跟知识安全，跟网络安全的关系，以及我们对它未来的展望。
从以前的网络环境我们看到的是一些有结构的资料，我们可以用一些既定的方法去分析。但是走到现在我们发现，从最近的报告当中我们看到的新形态的攻击，它的来源都是一些非结构性的资料。
什么叫做非结构性的资料呢？我们就是在网络上跟人员之间的互动，写电子邮件撰写的内容，微信上的信息，都可以找出黑客攻击的关键报告。
在这种没有结构的资料中，我们如何有效率的找到这些指示点？这就是我们所谓的认知时代的来临。认证技术包括各种AI的演算法，以及机器学习的技术，我们把它运用在一个特定的领域，我们要去找出对Security有帮助的领域，来抵制外来的攻击。
2015年之后，资讯的爆炸，云端的兴盛，我们发现没有办法及时的掌握他们的使用行为。我们发现，所有的攻击都来自于这两个地方，一旦你做了这件事情以后，你的使用者，你在公司就不用上班了，所以必须把这两个开启出来。
这就是我们为什么有了一个东西是Security，使用者是正常的，从正常的行为当中找出一些不正常的蛛丝马迹。我们看到使用者连到一个服务器，之后回来以后他有些奇怪的举动，什么叫做奇怪的举动？
就是在不对的时间选择不对的服务，身为一个工程师，怎么会去跑到HR的系统捞别人的薪资资料呢？这是不应该发生的，这就是所谓不正常的行为。
我们开始搜集了大量的资料来建构完整的Security Intelligence的数据，现在非常活跃的我们来分析趋势和走向，这是一个完整的Security Intelligence里面的，当我们找出了自然漏洞，变成人与人之间漏洞的时候，我刚才讲的那一套就变得有点华而不实，它还是那么有效。
从Network Security的角度来看，我们传统的做法是什么？
从各个自然设备去搜集，我们看到Firewall，我们从IPS去看有没有一些什么威胁事件，我们从一些地方小区搜集对于我们有意义的资讯，来找出其中真正有威胁的一些行为。
黑客总是有办法了解你在网络上部署了什么东西。我今天讲出来的东西黑客也知道，他们知道这些东西以后，他们就很有效率的去绕过。
包含了一个人在网络上在Facebook上与人的沟通，或者今天看了一条新闻，或者是看到了一个问题，这些都是人与人沟通的渠道。这些黑客很清楚，要找出这些资料很困难，第一个困难就是法律上的问题，就算我有办法监控这些内容的话，我要怎么有效率的搜集散在各处的四面八方的资讯？我可以有效率的收集吗？
这些是以前资料的好几百倍大。所以这个迷宫摆明了就是给我们这些Security的专家走，而且会走得非常辛苦。
我们讲认知运算运用到安全上面，我们叫做Cognitive Security，可以怎么做帮你发现网络中奇怪的举动？我们了解到一个使用者在网络上的Aliases是什么，可以是你公司的员工，可以是外面的黑客，他可以由多个不同的Aliases，他在不同的论坛里面有不同的ID。
一旦我们串联起来以后，我们可以从这些ID出发，去找出这些ID后面藏的故事，有没有人在找一个破解密码的软件，有没有人在网上兜售VPN，有没有人在网上进行某一家银行内容的搜寻。
我们可以得到一些IP、DNS，电子邮件DNS，我们利用在已经有的自然设备上是OK的。我们可以知道这个黑客的真实姓名，甚至是它的居住地址，我们甚至还可以在我们的治安设备上，把某个国家，某一个地区的交通给搞倒掉，这个都是Cognitive Profile，关注在做什么对他有意义的事情上面。
这个Cognitive如何把这个Security做出来？
我们平常在网络上的新闻、在微博和维基上所有的东西，都可以给这个Cognitive System，接下来问他，你觉得这个事情是可疑的吗？
之后就得到一个答案。这是简单的三个步骤，累计了过去电脑发展30年之后的结晶。
我们通过大量的分析和运算，才有办法知道一个准确的答案。这个Cognitive Security是怎么做分析的？
从我们的Security设备收上来的资料，再加上Security Data，这个Data就是在大环境怎么做治安的部署。你的内网是什么，你有几台基础设备，这些都是Security Data。
我们再加上针对特定产业分析出来的这一群黑客特别喜欢打医院，这些黑客特别喜欢打银行，我们套用这个特定产业的分析，最后再加上感情的资讯，就是人与人之间的互动。
我一开始讲到AI不是新的东西，Cognitive Security只是运用新的技术提供到特别的领域，代表我们的Use Case是最重要的，这个决定了最终的结果。
