百度安全为什么成立智能终端安全生态联盟

百度 All in AI 后，百度安全搞出了一个 OASES 智能终端安全生态联盟，并称其为“国内首个致力于 AI 时代提升智能终端生态安全的联盟组织。”

其实，这个联盟去年在百度内部就已立项， 9 月初正式敲定，一直在等合适的时机发布。

百度安全事业部总经理马杰对雷锋网 (公众号：雷锋网) 说：“我们建立联盟，不想说一个特别空的东西，最好有实际的东西，比如，拿代码、专利这些给大家，而不是坐一块说——好吧，我们合作，我们要干点什么。”

准备

马杰说的“不空”的东西，是指百度安全在联盟正式宣布成立前做好的一系列的准备。

第一，百度安全首席科学家、百度安全实验室负责人韦韬针对自适应内核漏洞热修复技术，从 2016 年 5 月开始，在 2016 年中国网络安全年会、XCon 2016、 BlackHat 2016、国际顶级安全学术会议 USENIX Security2017 上持续宣传碎片化生态热修复的重要性，并陆续发布其核心技术。

这项韦韬不遗余力推广的新技术终于在 2017 年 10 月有了落地—— 10 月中旬，某低调的国产著名手机大厂发布的新产品就集成了百度的 OASES KARMA 自适应内核热修复技术。

宅客频道了解到，百度安全正在趁热打铁，推进与中兴和酷派等更多厂商的合作。

第二，今年 6 月，在Mosec上发布 OASP 移动应用签名安全技术，并开始在百度全线移动产品上应用。

第三，今年10 月，推出 OpenRASP 自适应 Web 安全防护技术，目前正与著名安全组织 OWASP 联手在全球推广。

最后，百度安全向联盟成员开放了这四项申请了专利的安全技术能力，包括：KARMA自适应内核漏洞热修复技术、OASP 移动应用签名安全方案、OpenRASP 自适应Web安全防护技术和 MesaLink 内存安全通信协议栈技术。

这里说的开放是真开放，百度安全把四项技术的代码开源，而且专利与联盟成员共享。

已推进一年多

从技术推出到落地，再到规模性的合作，这显然不是一次容易的任务。

仔细看百度安全此次对联盟内部开放的四项技术，就能找到“为何这么难”的答案。

在终端层面，首先要保证系统安全。因为一旦系统被攻破，就等于给智能终端的安全来了个釜底抽薪，即便上层的应用安全做得再好也是徒劳。但这恰恰是智能系统的“顽疾”。

以往的安全修复，需要系统厂商先打补丁、升级系统，终端厂商再进行修复、版本升级，最后终端用户升级智能终端的系统。这个修复链条非常长，收敛的速度甚至长达几年。加之智能系统碎片化严重，市面上有 2 万多种设备型号。

更要命的是，在这个过程中专业的安全企业是缺位的——智能终端厂商不可能组织一群安全研究人员专门发现及解决漏洞问题，即便是发现了高危漏洞也无从“插手”。

按照百度安全的说法，通过自适应内核漏洞热修复技术，终端设备不用系统升级，就可以在不影响用户体验的情况下，快速修复系统漏洞，避免被黑客恶意攻击。 

以手机为例，如果安卓手机系统出现需要修补的 bug，以往的做法是，手机厂商推送 bug 需要修复的系统升级公告给用户，用户使用手机时需要点击“同意”，修复升级，重启手机。

一个小白用户真的能意识到这个 bug 是非修复不可的吗？会不会很多人直接点击了“稍后”，然后忘了这件事？根据百度安全实验室的统计，在业界做得最好的iOS也有超过40%的用户长期不能升级到最新版本。

漏洞及修补措施一经发布，用户若没有及时反馈修复，便给攻击者提供了绝佳的时间差和武器。

热修复的主要优势说白了就是“不重启打补丁”——热修复补丁不会作为常规补丁随系统自动更新，不会中断设备当前运行的业务，在不重启设备的情况下，可对设备当前软件版本的缺陷进行修复。

但是，关键点在于，这不是一个 App 的修复，而是终端设备的系统层面的问题。让别的安全厂商触碰自家手机系统层面的 bug 修复，需要极高的信任度和不断的磨合。

App 的热修复一般通过事先设定的接口从网上下载无 bug 的代码来替换有 bug 的代码。雷锋网 了解到，百度安全与手机厂商的合作模式可能是类似的合作方法——手机厂商设定一个补丁库，然后通过百度安全提供的接口，推送到用户的手机上。 至于什么时候推补丁、推什么、如何告知用户，通通都是手机厂商说了算。

正如文前所说，为了进一步建立双方的信任，百度安全先把代码开源了，明明白白地拿给你看。

韦韬说：“这次合作本身的难点在于，我们解决了一个非常难的问题，而且要在数十亿用户的市场上达到万无一失——生态碎片化时代在我们之前没有任何人能够应对这些漏洞的威胁，包括谷歌在内。而我们的合作伙伴又都是大公司，产品版本非常多，要确保用户体验不会受到影响。”

仅自适应内核漏洞热修复技术的落地，百度安全就推了一年多。

百度安全也“AI ”

百度安全的目的不止于此，OASES 联盟是打着“ AI ”的旗帜的。

11 月 6 日，百度总裁张亚勤与 AI 安全研究领域的学术大牛、加州大学伯克利分校计算机系教授 Dawn Song 为该联盟成立站台，聊了聊 AI 安全，随后就是百度安全演示智能终端安全技术。

一个友商的安全研究员会后叫住了百度安全实验室的黄正：“你们这个活动的主题是 AI ，但智能终端设备很‘AI’吗？”

黄正答：“我不知道是不是很‘ AI ’，但 AI 安全讲得这么多，大家真的理解吗？我觉得未来 AI 安全的落地应该是在智能终端上， 我们把事情拿到前面做了。”

百度安全的官方说法是，AI 的安全既包含传统安全层面，比如 AI 系统的硬件、软件、框架、协议等，也包含 AI 自身层面的安全，比如错误地引导机器学习系统，以达到攻击者的目的，或者破坏机器学习的样本，让机器学习得出错误的结果。

百度安全向 OASES 联盟成员开放了其在 AI 生态上的多项安全能力，是希望在智能终端领域，通过专利共享、技术开源、标准共建，与联盟合作伙伴共同推动安全技术与服务的应用落地，共建安全的 AI 时代。 

此外，百度安全开放的四项技术能力，虽然针对的是智能终端，但包含了“云、管、端”的各个环节。

比如，除了自适应内核漏洞热修复技术，还有针对应用安全的 OASP 应用签名安全方案，还有针对传输层的下一代可配置嵌入式安全通信协议栈 MesaLink，在语言层面提供内存安全保障，算法层面提供后量子密码对抗能力，以及针对云端安全的 OpenRASP 开源自适应安全解决方案，保护引擎集成在了应用内部，可以直接跳过纷繁复杂的应用协议解析，直接在应用脆弱环节检测、抵抗攻击。

韦韬对后量子密码对抗能力进行了解释：“量子计算里有一种算法叫做 Shor 量子算法，可对 RSA 或 DSA 这些算法产生可怕的影响——可以在多项式时间内求解大整数分解问题和离散对数问题。在量子计算发展成熟后，RSA 和 DSA 、ECDSA 这些传统公钥算法在理论上都不安全了。”

这意味着，整个公钥体系将全线崩溃。对银行业而言，更是噩梦。不管银行的证书藏得多么好，比如藏在 U 盾里，但公钥是公开的，攻击者可以通过公钥计算出私钥让整个证书系统彻底崩溃，这种就是可被量子攻击的状态。而后量子密码体系不受 Shor 量子算法影响，即使量子计算机实用化以后，依然提供安全的服务。

AI 安全涉及的技术相当前沿，为了后续推出更过 AI 安全技术，该联盟吸纳了许多高校学术大牛，如清华大学、复旦大学、中国科学院、上海交通大学、佛罗里达州立大学等中外顶尖院校的一线专家学者。

另外，联盟还有安全厂商犇众信息（内置业内著名的盘古团队）、Keen公司（著名的 GeekPwn 极棒黑客大赛主办方）、NewSky Security（青天科技，主攻物联网设备安全）、腾御安（TYA，Linux 内核安全专家团队）等攻防能力特别强的技术团队。

马杰称，学术伙伴看前沿，这些团队则是来一起解决当下的现实安全问题的。

谷歌做不到的事情，我们来做

涉及到安卓系统的问题，最终可能会落到谷歌身上。

但问题是，为什么谷歌没有做这件事情？

韦韬认为，安卓其实是一个开放平台，但谷歌只对参加它的 CTS（兼容性）测试、获得安卓商标授权的厂家负责。谷歌的要求是—— 你必须跟我跑，你必须跟上安卓新版本发展的速度。但后来各家实在做不到，就有所放松了。况且，还有大量用安卓的智能终端厂家不在 CTS 里。

马杰称，谷歌的解决方案在传统移动行业推进尽快升级是正确的，但这个正确的方案落到智能终端这个产业时，产业链太长了。

雷锋网了解到，从硬件厂商，到谷歌，到手机厂商，再到运营商。每一个环节都有自己的开发、质控、验证等复杂流程，有时候还会相互冲突。这样要消耗大量的时间和人力，而且有时甚至导致安全补丁无法下发给用户。

今年 10 月中旬，超过 40% 的安卓设备被报告受到了 Wi-Fi 漏洞“KRACK”的影响，与谷歌有合作关系的厂商在10月16日拿到了谷歌发过来的补丁，但谷歌在 11 月 7 日才对外公开发布这个补丁。

安卓设备机型众多，谷歌方面表示，只会针对 Nexus 和 Pixel 设备进行适配，其它品牌的手机可以通过第三方手机厂商推送的补丁解决该问题，因此只是时间问题。

但恰恰是这个“时间”差，有时能让攻击者发起致命一击。

百度安全此次发起联盟并促成第一项自适应内核漏洞热修复技术落地，实际发出了一种声音： 谷歌做不到的事情，我们来做。

。