周鴻祎
奇虎360董事長(zhǎng)
在2006年的時(shí)候，我們就相信網(wǎng)絡(luò)安全是用戶(hù)的一種基本需求。和搜索、郵件、即時(shí)通信一樣，它作為互聯(lián)網(wǎng)的基礎(chǔ)服務(wù)，就應(yīng)該是免費(fèi)的，所以我們創(chuàng)造了一種新的模式，面對(duì)中國(guó)的六億用戶(hù)提供免費(fèi)的安全服務(wù)。
我今天想分享一個(gè)觀點(diǎn)，就是在下一個(gè)五年，對(duì)互聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)安全最大的威脅和挑戰(zhàn)是什么？
最近大家都在談一個(gè)趨勢(shì)：IOT(Internet of Things)或者IOE(Internet of Everything)。這個(gè)趨勢(shì)非常令人激動(dòng)，它是指所有我們能看到或想象到的硬件都會(huì)變成“不像手機(jī)的手機(jī)”，并實(shí)現(xiàn)與網(wǎng)絡(luò)的智能化實(shí)時(shí)對(duì)接—無(wú)論是汽車(chē)、家居、各種可穿戴設(shè)備，還是一些工業(yè)生產(chǎn)與制造設(shè)備。
也有人說(shuō)，IOT帶來(lái)了巨大的機(jī)會(huì)，它真的能把互聯(lián)網(wǎng)和很多on-line（線上）與off-line（線下）的東西聯(lián)系在一起。與3D打印機(jī)相比，IOT實(shí)際上更讓人激動(dòng)，因?yàn)樗赡軙?huì)帶來(lái)第四次工業(yè)革命。比如，IOT技術(shù)可以幫助國(guó)內(nèi)的生產(chǎn)制造業(yè)重新發(fā)明輪子，也就是說(shuō)，雖然我們不可能把輪子從圓的變成方的，但可以在輪子里加入各種智能芯片和傳感技術(shù)，同時(shí)還能改變多企業(yè)的商業(yè)模式，從單純的一次性賣(mài)產(chǎn)品，變成實(shí)時(shí)與互聯(lián)網(wǎng)相連的互聯(lián)網(wǎng)服務(wù)。
但是，對(duì)于安全而言，IOT還帶來(lái)了三個(gè)巨大的挑戰(zhàn)和威脅。
第一，我們面對(duì)各種攻擊的可能性會(huì)大大增加。傳統(tǒng)企業(yè)在作安全部署的時(shí)候，經(jīng)常說(shuō)要“把網(wǎng)絡(luò)隔離起來(lái)”，讓我們?cè)谶吔缂由戏阑饓σ赃_(dá)到對(duì)安全的控制，以為這樣就可以高枕無(wú)憂了。事實(shí)上，當(dāng)各種各樣的設(shè)備都通過(guò)Wi-Fi、藍(lán)牙、ZigBee等無(wú)處不在的無(wú)線協(xié)議連接到整個(gè)企業(yè)網(wǎng)的時(shí)候，越多的連接點(diǎn)就意味著越大的受攻擊可能性。
舉個(gè)例子，中國(guó)有很多廠商要做智能汽車(chē)，他們也認(rèn)為最大的問(wèn)題并不在于自動(dòng)駕駛或電機(jī)充電，而是如果車(chē)開(kāi)在路上，它的安全和操作控制系統(tǒng)到底會(huì)不會(huì)被人攻擊。而這一點(diǎn)，也正是許多消費(fèi)者擔(dān)心的。事實(shí)上，也有很多廠商認(rèn)為自己用的系統(tǒng)非常堅(jiān)固，但我會(huì)反復(fù)解釋一個(gè)道理：當(dāng)你的汽車(chē)上有藍(lán)牙或是Wi-Fi，而手機(jī)就是控制這一切的“鑰匙”，那么只要有機(jī)會(huì)，別人就可以先控制你的手機(jī)，再進(jìn)一步去控制整輛汽車(chē)。
在國(guó)內(nèi)，已經(jīng)有不少的黑客試圖用類(lèi)似的方法去劫持智能汽車(chē)（比如特斯拉），可以讓它在行駛的過(guò)程中出問(wèn)題，所以，“邊界安全”的概念在以后將會(huì)變得更加模糊。之前我們認(rèn)為終端安全非常重要，但隨著IOT設(shè)備數(shù)目的高速增長(zhǎng)，攻擊點(diǎn)會(huì)越來(lái)越多，這對(duì)每個(gè)安全企業(yè)而言都是巨大的挑戰(zhàn)和機(jī)會(huì)。
第二，我們受到安全攻擊的后果可能會(huì)遠(yuǎn)比以前嚴(yán)重。過(guò)去的網(wǎng)絡(luò)攻擊，無(wú)非是損失一些文件，泄露一些隱私，或是陷入在線欺詐。但一旦普及了IOT，這種安全攻擊可能會(huì)帶來(lái)巨大的物理傷害或者人身傷害。
舉兩個(gè)最典型的例子，一個(gè)是汽車(chē)，另一個(gè)是其他公共或私人場(chǎng)所。如果你的汽車(chē)在行駛過(guò)程中突然死機(jī)，或者在高速公路上突然叫停，后果不堪設(shè)想。在很多好萊塢大片中還出現(xiàn)過(guò)這樣的場(chǎng)景：恐怖分子可以通過(guò)網(wǎng)絡(luò)控制工廠、交通信號(hào)燈、電梯甚至私人住宅的門(mén)鎖。在未來(lái)，這恐怕將不再只是電影中的幻想而已，它造成的結(jié)果肯定更為嚴(yán)重和糟糕。
第三，針對(duì)用戶(hù)大數(shù)據(jù)，IOT還會(huì)帶來(lái)隱私問(wèn)題。雖然現(xiàn)在都在談大數(shù)據(jù)，但實(shí)際上真正的大數(shù)據(jù)時(shí)代還沒(méi)有真正到來(lái)，因?yàn)槟壳皵?shù)據(jù)的產(chǎn)生范圍還有限。
首先，這與設(shè)備有關(guān)。比如，PC只會(huì)在工作時(shí)間產(chǎn)生一些數(shù)據(jù)，有了手機(jī)之后，除了睡覺(jué)時(shí)間以外，我們使用APP時(shí)都會(huì)產(chǎn)生和上傳各種數(shù)據(jù)，甚至數(shù)量要比PC更多。
其次，這與數(shù)據(jù)量和計(jì)算能力有關(guān)。IOT設(shè)備本身的計(jì)算能力比較弱，它一定要把數(shù)據(jù)傳到云端，并且在將來(lái)，IOT設(shè)備的數(shù)目可能會(huì)達(dá)到現(xiàn)在的十倍，從而產(chǎn)生更龐大的數(shù)據(jù)量。目前中國(guó)有6億網(wǎng)民，按未來(lái)平均每人兩部手機(jī)（一部iPhone一部android）算，就是15億部移動(dòng)設(shè)備，非常驚人。何況，以后每個(gè)人身上可能至少有5到10個(gè)IOT設(shè)備，家里可能還有20個(gè)（甚至連燈泡和插座都與互聯(lián)網(wǎng)連接），所以整個(gè)IOT設(shè)備的數(shù)目會(huì)比現(xiàn)在大10~20倍。也就是說(shuō)，幾年之后，僅僅在中國(guó)市場(chǎng)，連接互聯(lián)網(wǎng)的智能終端數(shù)量就不會(huì)是15億，而很有可能是150~200億部，這是一個(gè)巨大的數(shù)字。
IOT設(shè)備（比如現(xiàn)在正在普及的運(yùn)動(dòng)手環(huán)或智能手表）還有一個(gè)特點(diǎn)：你睡覺(jué)的時(shí)候它也在工作，7×24小時(shí)不停歇地傳遞你的私人數(shù)據(jù)。這在真正產(chǎn)生海量數(shù)據(jù)的同時(shí)，也帶來(lái)了一個(gè)巨大的挑戰(zhàn)—它把你各個(gè)維度的數(shù)據(jù)都搜集起來(lái)，上傳到不同互聯(lián)網(wǎng)公司的服務(wù)器上，你就會(huì)發(fā)現(xiàn)在這個(gè)時(shí)代，個(gè)體不再有隱私可言，甚至?xí)兂梢粋€(gè)透明的數(shù)碼人。
所以，現(xiàn)在很多互聯(lián)網(wǎng)企業(yè)也非常激動(dòng)，非常熱衷于交談?dòng)脩?hù)數(shù)據(jù)。拿著這么多大數(shù)據(jù)，這些企業(yè)就能知道一些最終的問(wèn)題：你是誰(shuí)，你要干什么，你準(zhǔn)備干什么？
當(dāng)這些大數(shù)據(jù)都被拿到以后，我們就開(kāi)始渴望利用它來(lái)對(duì)用戶(hù)做更精準(zhǔn)的營(yíng)銷(xiāo)以及各種智能的推薦。在這里確實(shí)有一個(gè)blance(平衡)，就是如何保護(hù)用戶(hù)的隱私。美國(guó)一個(gè)著名的科幻作家阿西諾夫?qū)懥撕芏嘟?jīng)典的科幻小說(shuō)，他定了一個(gè)機(jī)器人三定律，思考如何能防止機(jī)器文明的發(fā)展傷害到人類(lèi)。據(jù)此，我們也提出了一個(gè)用戶(hù)隱私大數(shù)據(jù)的“三原則”。
第一，用戶(hù)數(shù)據(jù)是屬于用戶(hù)的資產(chǎn)。目前，大數(shù)據(jù)的歸屬權(quán)在法律上的定義還非常含糊，雖然用戶(hù)在使用智能設(shè)備與程序時(shí)產(chǎn)生了大量數(shù)據(jù)，它們被上傳到互聯(lián)網(wǎng)公司的云端服務(wù)器上，但它們到底是誰(shuí)的資產(chǎn)？我們旗幟鮮明地認(rèn)為，這理所當(dāng)然應(yīng)該是用戶(hù)的資產(chǎn)，只不過(guò)是托管在各個(gè)互聯(lián)網(wǎng)公司的服務(wù)器上而已。
并且，從某種意義上說(shuō)，將來(lái)很多傳統(tǒng)企業(yè)都會(huì)變成互聯(lián)網(wǎng)公司，同時(shí)也涉及到這一問(wèn)題。比如，過(guò)去賣(mài)電視、賣(mài)汽車(chē)的公司并沒(méi)有用戶(hù)數(shù)據(jù)，但將來(lái)通過(guò)各種IOT系統(tǒng)，它們就能拿到用戶(hù)的習(xí)慣和各種其他信息。從這個(gè)角度來(lái)說(shuō)，這第一個(gè)原則對(duì)它們而言也非常重要。
第二，用戶(hù)對(duì)自己的數(shù)據(jù)享有處理權(quán)。用戶(hù)之所以心甘情愿地把這些數(shù)據(jù)交給互聯(lián)網(wǎng)公司去使用，一定是因?yàn)榭梢該Q取免費(fèi)或有價(jià)值的服務(wù)，但用戶(hù)仍然應(yīng)有知情權(quán)和選擇權(quán)。
舉個(gè)例子，在使用搜索工具時(shí)，因?yàn)橛脩?hù)有需求，才會(huì)輸入自己內(nèi)心的隱私，其搜索請(qǐng)求就會(huì)被存在引擎的服務(wù)端。再比如，在使用一些手機(jī)通訊軟件時(shí)，用戶(hù)也會(huì)上傳自己的聯(lián)系人記錄等，這樣系統(tǒng)才能自動(dòng)匹配，知道誰(shuí)是你的朋友，誰(shuí)是你朋友的朋友，你和誰(shuí)聯(lián)系最頻繁。
互聯(lián)網(wǎng)公司利用用戶(hù)數(shù)據(jù)牟利，也屬于正當(dāng)?shù)纳虡I(yè)模式，但關(guān)鍵在于保證用戶(hù)的知情權(quán)和選擇權(quán)。用戶(hù)不能處于被動(dòng)地位，企業(yè)也不能在沒(méi)有任何告知的情況下濫用用戶(hù)數(shù)據(jù)，而必須要得到用戶(hù)的授權(quán)，并以各種服務(wù)作為交換。如果有少數(shù)用戶(hù)確實(shí)不愿意把自己的隱私拿來(lái)做商業(yè)交換，那么我認(rèn)為他們也有權(quán)利把這些數(shù)據(jù)拿走，或是要求企業(yè)銷(xiāo)毀和刪掉。
第三，企業(yè)有責(zé)任保護(hù)用戶(hù)的數(shù)據(jù)安全。最近國(guó)內(nèi)出現(xiàn)了一些例子，由于某些互聯(lián)網(wǎng)公司的安全水平不過(guò)關(guān)，導(dǎo)致服務(wù)器被人攻破，很多用戶(hù)信息丟失，再加上信息的加密與儲(chǔ)存有問(wèn)題（使用了明文來(lái)儲(chǔ)存信用卡密碼以及三位確認(rèn)碼），最終某電商網(wǎng)站上所有用戶(hù)的信用卡記錄都被拿走了。所以，很多企業(yè)應(yīng)該意識(shí)到，當(dāng)自己興奮地表明想利用IOT技術(shù)轉(zhuǎn)移成互聯(lián)網(wǎng)公司時(shí)，要捫心自問(wèn)，自己是否確實(shí)有相應(yīng)的技術(shù)能力和產(chǎn)品能力，去確保安全的存儲(chǔ)與傳輸？
當(dāng)企業(yè)在夸耀自己拿到了多少用戶(hù)的習(xí)慣和數(shù)據(jù)時(shí)，也一定要盡到保護(hù)這些用戶(hù)數(shù)據(jù)的責(zé)任，因?yàn)橐坏┓?wù)器被攻破，用戶(hù)數(shù)據(jù)被拿走，造成的后果會(huì)非常嚴(yán)重。很多用戶(hù)都用一個(gè)密碼“走天下”，無(wú)論是在網(wǎng)站還是APP上，所以一旦失守，就可能全線覆沒(méi)。
在未來(lái)，無(wú)論是美國(guó)還是中國(guó)，無(wú)論是做網(wǎng)絡(luò)安全還是保護(hù)用戶(hù)隱私的公司，當(dāng)然還包括那些傳統(tǒng)的互聯(lián)網(wǎng)公司，都不可能無(wú)視用戶(hù)數(shù)據(jù)安全的問(wèn)題。只有讓用戶(hù)有安全感，讓他們覺(jué)得自己的隱私得到了保護(hù)，他們才會(huì)花更多的時(shí)間來(lái)使用各種互聯(lián)網(wǎng)的新技術(shù)和新產(chǎn)品，這也是我們一直做免費(fèi)安全的哲學(xué)指導(dǎo)。用戶(hù)安全上網(wǎng)的權(quán)利就像人權(quán)一樣，應(yīng)該作為一個(gè)基本點(diǎn)，那樣互聯(lián)網(wǎng)才能繁榮。如果互聯(lián)網(wǎng)充斥的不是釣魚(yú)網(wǎng)站，就是網(wǎng)絡(luò)欺詐或數(shù)據(jù)泄露，那么我們就不可能有一個(gè)真正美好的互聯(lián)網(wǎng)。
