圓桌會談：新安全、新未來

隨著5G商用不斷加快，5G在各個應用場景的網路安全風險也在日益凸顯。面對5G新基建帶來的機遇以及諸多全新的安全挑戰，本次2020看雪安全開發者峰會上我們特別邀請6位行業大咖，舉行圓桌會談，就主題“新安全，新未來”，展開深入探討。 

主持人：惠志斌

嘉賓：吳建華、陳良、楊珉、陳凱、朱易翔

以下為速記全文：

惠志斌：主持人介紹了很多，背景也鋪墊了很多，我們快速進入話題。今天看了前面的一些演講，我覺得非常技術流，接下來馬上要抽獎、吃飯，我們就過渡一下，從一個技術世界，慢慢透過我們這樣的一個交談回到我們生活的現實世界當中來。

我們今天的主題是“新基建、新安全和新未來”。我覺得這個主題也是非常契合現在整個國家或者說我們的技術發展趨勢的，特別是像5G、AI等一些技術在蓬勃發展，都讓我們的一些產業、網際網路在快速地演進。在這個過程當中，我相信它的安全、風險又會有全新的一些定義，同時對我們的安全產業、安全人才也會帶來一些全新的發展空間以及技術探索更廣闊的世界。在這個背景下，今天我們請到了五位專家，第一輪的問題就快速地請五位分別結合各自的工作經歷對新基建以及新基建的安全談談他們的理解和認識。

惠志斌，管理學博士，研究員，上海社會科學院網際網路研究中心主任，上海賽博網路安全產業創新研究院首席研究員。兼任全國資訊保安標準化技術委員會委員、上海網信辦網信前沿諮詢組召集人、上海人工智慧產業安全專委會委員、上海公共資料專家諮詢委員會委員。

吳建華：新基建對我們國家、對整個人類是有非常大的促進作用，在這個過程中也帶來了一些新的技術、挑戰。特別是在資訊保安上，很多東西都是原來沒有接觸過的，比如做資訊保安的人可能原來只是基於一些封閉的網路或者網際網路場景。但是在物聯網、雲端計算等場景下，出現了很多以前未曾遇到的情況。目前已經制定了很多資訊保安相關的標準，這些標準也都是在落地當中的。作為從事資訊保安的老兵，在這方面也做了不少的工作，後面也希望繼續和大家一起努力，推進我們網路安全的發展。

上海計算機軟體技術開發中心網安所副所長，高階工程師，公安部資訊保安等級保護高階測評師，工業網際網路高階評測師，國家註冊資訊保安專業人員（CISP），國際資訊系統審計師（CISA），專案管理專業人員（PMP），系統整合專案管理師，高階軟體測試工程師。

陳良：5G等等這些新的技術在新基建越來越快地得到普及之後，其實對於華為終端這塊，越來越多的終端裝置都發生了改變。像以前4G時代的時候，比如說你在家裡面有這種IoT裝置，他們各自有各自的APP去管理這些裝置。但在5G這樣的一個技術日趨成熟之後，裝置之間傳輸的過程基本上延時更小，頻寬更大，這些IoT裝置對於使用者來說其實就變成了一個整體。同時，其中運用到的一些資料傳輸也變得更為頻繁。

但大家知道，手機是一個集中儲存使用者敏感資料、金鑰等東西的載體。那麼在這個時候，我們如何在這種傳輸需求更大、使用者越來越重視自己個人隱私的大背景下，更好地去保護使用者呢？這其實就是對我們華為終端安全這塊的一個非常大的挑戰。我們建立這個實驗室也是想去建立一些基礎的能力，去從漏洞這塊或者是從其他的一些角度更好地控制這些風險，在5G的新時代讓資訊保安可以建設得更好。

楊珉：大家好，非常高興有機會在這裡面向行業、工業界等的廣大技術朋友分享我們的一些思考。我個人感覺，新基建這樣的大背景，尤其是在當今比較複雜的國際形勢下，它應該是一個非常重要的契機。為什麼這麼說呢？

如果我們退回十年之前，那時候我們很難想象像智慧手機這樣的裝置和我們人的工作和生活能有如此之密切的關係。如果說我們安全行業、新的技術、創新創業的領域能夠提前十年去佈局、去看這個新的市場的話，我想這樣的企業走到今天可能又會成為一個新的獨角獸。也就是說，在這種重要的技術演變或者說技術形態的趨勢下，它可能會帶來一些行業變革的新機會，就特別適合於那些擁有創新創業能力的群體，去迎接它帶來的挑戰和機遇。

教授、博導，第八屆國務院學位委員會網路安全學科評議組成員，國家973專案首席科學家，復旦大學電腦科學技術學院科研副院長。聚焦於智慧系統安全研究，在惡意程式碼分析、漏洞檢測和AI系統安全等領域中取得較大進展，相關成果得到國家領導人和多部委的高度重視。

這可能講得太宏觀了。因為我過去在2011年開始就帶領團隊一起做移動終端的安全研究、惡意軟體的檢測、漏洞的自動挖掘、漏洞利用的工具以及作業系統的安全機制等等。在這樣的背景下，其實我們這幾年就開始關注到了一些重要的技術演變趨勢。比如說在終端上，從通用的CPU加上了一個專用的AI處理器。比如說華為手機的賣點在於拍照拍得好，就是因為裡面有一塊AI晶片……這些重要的技術性變革背後都蘊藏機會。就像人工智慧的技術它是有專屬的硬體支援的，可以想像，像這樣的硬體能力它一定會釋放出更多的上層應用的機會。

那這些機會究竟對我們意味著什麼？臺下大多數的朋友們可能都是做安全攻防研究，大家可以超前佈局，用安全攻防的視角去研究當前AI系統的安全問題，研究如何增強AI系統的抗攻擊能力。

大家知道，這些AI模型、演算法，它們的設計者比較欠缺來自於攻防視角的考量，裡面有大量的數學假設、模型依據都是比較理想化的，在我們攻防的角度看過去，這些前提條件就不太成立。在這些地方是不是就可以誕生出一些新的機會呢？我想這個可能會給有準備的人提供足夠多的舞臺。尤其是5G等技術逐漸處於一個成熟的狀態，但是5G的應用上，典型的應用還是比較少的。像5G終端專用的AI晶片加上算力的提升等可能會應用在什麼地方呢？像無人駕駛、遠端醫療等等也許會在基礎技術得到提升之後變得更熱門，下一個五年它將會是一個風口的東西。所以建議大家去關注這樣趨勢性的東西，提前佈局。

陳凱：剛剛前面幾位老師講得非常好。那對於“新基建、新安全、新未來”這個主題，我換一個角度，從從業者的角度談談我的看法。回想一下，我印象中2000年初的時候，網路上湧現了“碼農”這個詞，我們安全開發者峰會在座的很多可能也都是開發出身的。碼農的春天我記得是來自於網際網路的一波熱潮，比如說BAT等企業的興起。而它最直觀的表現就是，當時我們去招一個開發人員，成本一下子提升了很多，因為網際網路企業把這塊都帶起來了。

現在，我們就迎來了第二波——新基建。新基建帶來的是很多企業要面臨著數字化轉型的場景，像我們上汽這種企業型別，以前我們做資訊化，更多的還是做一些企業內部的辦公或者是一些供應鏈的系統，很難參與到核心業務當中。但是現在不一樣了，每家企業都在做轉型，比如說智慧製造、車聯網，包括零售行業，現在提的新零售、醫療各個行業都在做數字化轉型，所以我覺得我們的資訊從業者話語權越來越大，對業務的主導地位也越來越重要了，這對於我來講就是第二波春天。

而且在這個背景下，安全問題是非常突出的，因為我們面臨的威脅越來越多了。我個人感覺做安全這麼多年，真正被重視的話還是從2016年網安法開始執行之後，之前很長一段時間都有種鬱郁不得志的感覺。很多企業的領導或者業務的負責人對安全並不是特別重視，但是現在隨著資訊化作為一個業務主導的驅動力，安全對業務是有實實在在的價值增值服務的時候，它自然而然會以業務驅動為導向。所以接下來我想說的就是，第一我們要在技術層面繼續孜孜不倦，第二就是這個行業我是非常看好的。

朱易翔：我來講一下我的體會吧。我覺得新基建、新安全、新未來從我的角度來看的話，至少新基建這件事情的提出，有一個對我們很明顯的啟示，就是以數字資產為代表的一些科技類的資產，特別是硬核科技的資產，在我們未來的社會、生活中會扮演越來越重要的角色，會成為非常重要的需要保護的物件。

因為新基建變成了一個重要的基礎設施，但相對於傳統基礎設施它又比較新，所以必然也會帶來很多新的挑戰。挑戰具體的細節就不用說了，在這背後也會觸動一些新的其他場景的出現。

翼盾智慧&第五空間研究院創始人，20年網路安全從業經驗，中國中文資訊學會大資料安全與隱私保護專業委員會委員，中國網際網路協會物聯網工作委員會物聯網安全部副部長，上海資料治理與安全產業發展專業委員會專家，北京和勤大資料應用研究院網路安全專家委員會專家，2014-2017年曾負責移動網際網路系統與應用安全國家工程實驗室的建設與運營工作。

比如說我們提到的新的安全常態。比如說以前有很多事情在我們看來是出現頻次沒有那麼高的，但是在新基建的大背景下我覺得頻次會越來越高，重要性也會越來越高，而且一旦產生問題會帶來嚴重後果和損失。比如說我們說的法律法規遵從性問題在這樣的背景下，也會越來越重要。還有比如說我們提到的在攻防雙方對抗領域的一些具體技術，在對抗中進行升級也會變成一個非常重要的常態，這裡面也有非常多的點值得我們探索。這是我的第一個體會。

第二個體會是，它給我們帶來了很多新的挑戰和機會，讓我們的生活發生著潛移默化但又翻天覆地的變化。比如說前面專家提到的自動駕駛、未來的無人駕駛，還有我經常提到的萬物互聯，我們身邊各種各樣的物可能未來都會變得智慧化、聯網，無時無刻不線上，會產生大量的資料，這裡面又會涉及到一些資料的安全、個人隱私的保護等等，這個方面的挑戰會非常多。

當然，對於我們今天在坐的安全開發者們來說，我覺得未來的機會也是非常多的，因為在新基建的背景下，掌握核心技術的人才能真正輸出自己的能力，產生自己的價值，也會讓自己有更多的回報。

惠志斌：謝謝五位專家對於這個問題發表的宏觀、系統性的理解，非常精彩。我學習下來的體會就是說，新基建是大勢所趨，同時也是這樣的一個數字化轉型中非常重要的基礎。現在中國走在了前列，在這樣的過程中，安全和過去我們網際網路時代的安全，甚至跟PC時代的安全相比又有了更重要的一些價值。這對於我們這樣從事安全技術，特別是從事一些尖端安全技術的從業人員來說也是有非常大的空間，令人振奮。

接下來我們進入第二輪討論，稍微結合一下具體的場景。剛才幾位專家都講到未來新基建起來之後，什麼產業是最先發展起來的？我個人最憧憬的可能是智慧網聯汽車或者是無人駕駛這樣的產業，在未來能快速地發展起來。

但是，作為一個使用者來說，我一直會擔心到底智慧網聯汽車以及無人駕駛的安全性問題到底能不能從根本上解決？或者說它技術的成熟度和安全保障能力，是不是能夠很好地抵禦現在的一些風險？其實不僅僅是我，很多的使用者也在擔心這些問題。所以我想首先請問一下上汽的陳總，我相信上汽肯定也在做網聯汽車的開發，那您對這個問題如何理解？您有沒有信心可以克服這個問題呢？

陳凱：這個可能不能用一句話來回答可以還是不可以。回顧一下我們做的一些事情，在2015年的時候上汽推出了第一款所謂的網際網路汽車，車具備了網聯的功能，在車裡可以享受一些線上的地圖導航或者線上的娛樂系統，還可以對車輛進行一些簡單的遠端控制，比如說車輛的解鎖和空調的開啟，這其實還不會涉及到跟車相關的車控和車的安全性這部分的內容。

但是在現在這個階段，我們已經意識到傳統的車輛其實是封閉的，不具備任何網聯功能，除非你把這個車拆掉，在裡面植入一些惡意程式，否則這個危害是比較有限的。但現在，車一旦具備了網聯功能之後，我個人的理解就是開啟了一個潘多拉的魔盒，我們在擁抱網際網路的同時也勢必會引入一些傳統的威脅，還有一些新的威脅。

這麼多年來我們國內做安全研究的團隊，包括360、騰訊團隊都做了大量的研究。研究得出很多車輛是可以被破解的，只不過現在的破解還只是在一些近距離的物理接觸和無線通訊的接觸區，對單輛車輛進行破解。這個會有危害嗎？會的。那會不會達到速度與激情8裡面大量的車在街頭追逐的場景呢？理論上是有可能的，但是目前技術上達不到。

上海帆一尚行科技有限公司（上汽集團雲中心）資訊保安負責人。負責上汽集團雲安全、上汽集團安全紅軍、車聯網安全、以及下屬企業資訊保安建設等工作。作為汽車行業安全專家主導研發了雲-管-端一體的車輛智慧網聯安全產品，主導了國內首例商業化智慧重卡無人駕駛、V2X等業務場景下的網路安全防護落地工作。 

作為一個汽車行業的從業者，我們也是把安全問題放到一個比較重要的地位去考慮的。比如我們談到的無人駕駛，無人駕駛這個技術還處在一個研發和磨合的階段，現在有很多汽車廠商都號稱能支援L4級別的駕駛，我覺得這更多的是宣傳，其實現在做得比較好的可能是在L3階段左右，還不到L4。這可能就需要大量的5G業務場景落地，透過大量的人工智慧訓練來採集大量的資料，再透過後續的訓練結合一些演算法去做最佳化。

未來我個人還是比較有信心能把無人駕駛場景做得比較好的。在去年一些單一的業務場景，比如說一些重卡的物流運輸場景，我們已經做到L4級別的場景落地工作了。這裡面要提到三個安全層面。一個是交通安全，就是行駛過程中跟其它的傳統車輛會不會產生交通安全。第二個是功能安全，就是說車輛本身的制動、控制會不會有一些功能安全的隱患，包括鐳射雷達、毫米波這些。第三個就是資訊保安，比如我這個車輛有一些暴露面，車機會對外提供一些4G、5G、藍芽或者Wifi的通訊介面，這些會不會成為駭客潛在的攻擊面都是需要考慮的。

另外，需要去更多地關注的是系統工程的安全。未來可能不僅僅是像以往開發一個傳統應用那樣，而是在整個車輛的研發設計階段都要引入對安全機制的考慮，包括在實施運維的時候要對車輛做一些實時的監控，監測有沒有入侵行為等。

好就好在現在駭客要黑的話需要一些成本，也可能要先買一輛車回來，所以這種攻擊還是有一點門檻的。拋開這種僥倖心理，我們從從業者的角度講，還是希望站在開發者的立場上，從產品研發的角度正向地去考慮這些安全問題怎麼去解決，這樣才更有價值。

惠志斌：我印象裡，我們華為的陳總在駭客大賽上拿過獎，也是在針對一些智慧終端，像智慧網聯汽車等等的終端產品進行研究。那在您看來，目前的一些安全問題是不是能夠很好地去突破或者實現呢？

陳良：我們看這幾十年攻防的演變，就像90年代它有衝擊波、震盪波，那個時候是針對PC的，有了這種攻擊之後廠商就會做一些攻擊的防護措施。到目前為止，PC上的攻擊對抗都是非常激烈的。但同時這對於攻擊者來說，要研究出一種對傳統的Windows非常有效的遠端攻擊，成本也是非常高的，因為它已經有非常成熟的保護機制。

華為終端奇點安全實驗室主任，主要從事瀏覽器高階利用技術，Apple系作業系統的漏洞挖掘與利用技術研究，曾受邀在Black Hat，Infiltrate，RECon，PoC，XCon，CanSecWest等國內外著名安全峰會中發表主題演講。在過往的工作中，曾多次帶隊獲得Pwn2Own比賽的冠軍，三度被授予“世界破解大師（Master of PWN）”稱號。曾多次在國際安全峰會中演示iOS最新版本的越獄。

移動網際網路剛出來的時候絕對是一片藍海，在攻擊這一塊成本是比較低的。可能它程式碼質量比較一般，你要攻擊的時候它的一些防護措施很弱，因為移動網際網路剛出來的時候，更多考慮的是效能的問題，一旦上了PC上的防護網安之後，可能會造成一些效能的影響。現在對於車也是一樣的道理。而且從車聯網來看，它非常接近我們現在的智慧手機，有很多的攻擊面，甚至比手機還多。在手機上的一些攻擊面其實在車聯網上也有，比如說它的車載娛樂系統不可能是完全從頭開始研發出來的，它更多的還是用移動手機上包括核心、使用者態等等的一些系統，所以架構上還是比較相像的。

但是，它唯一欠缺的就在於，像安卓、iOS上已經上了很多PAC、MTE，包括還有一些CFI的防護手段，但是這些防護措施在汽車上是沒有的，也就是說對攻擊者來說攻擊成本是比較低的。除此之外，還有像5G、藍芽上有的一些攻擊方式、攻擊面一個都不少，因為車以前畢竟是傳統的廠商在做、在維護，它不會像移動網際網路那樣出現一些新的作業系統，普遍還是一些比較傳統的東西。這就導致它對一些補丁和漏洞的管理都比較依賴上游廠商。比如說像Liunx，它的一些使用者態元件其實並不是自己研發的，如果上游出了一個補丁，就不可能很實時地拿到。

而駭客攻擊這種車，最大的成本可能就是要先買一輛車。但是他做研究的成本是比較低的，可能根本就不需要自己有什麼創新，把一些人家已經寫好的在野漏洞直接拿來用就好。當然，如果要實現一個完整的車機攻擊鏈，還是有一些需要自己去研究的東西的。

總之，我想說的就是針對車聯網這一塊，從20幾年的攻防歷史來看，先是PC再是智慧手機、IoT、車聯網，每個新事物剛出來的時候保護都是非常少的，會面臨很大的威脅，往往需要幾年的攻防對抗，才可以慢慢把這個行業變得更安全、更完善。但是，車這個東西和其他的東西還不太一樣，車的安全可以直接影響到人的人身安全，像手機、PC頂多就是讓使用者隱私洩露，還不至於讓你的生命遭到威脅。所以說，車聯網安全這塊和其他的新技術相比，其實更迫切需要我們把安全性迅速建設起來。

惠志斌：我聽下來也有一點擔憂了，看來未來車聯網能夠實現的時間又要往後推了。我知道楊教授也在做這方面的研究，能不能分享一些研究心得？

楊珉：在我看來，無人駕駛這個場景實際上真的是一個藍海，我現在看它跟我在2010、2011年看手機的感覺類似，是一個很前沿的東西。這些新技術都不是由政客和商人所發明出來的概念，如果我們站在資訊科技發展的一條歷史的線上去看的話，它們的出現都是有其技術演變的必然性的。

現在我們去看無人駕駛場景，實際上傳統的車的概念，只是我們當前大腦中的一個形象，但它在未來有可能是我們高階人群，或者是高淨值人群極度依賴的工具。

它跟手機類似的地方就是一開始像蘋果手機那樣的智慧手機剛出來的時候特別貴，大家都開玩笑說這是賣了腎換的東西，所以說能夠承擔得起這種消費的，尤其是比較高階型號的都屬於比較高階的人群。那時候它的資訊保安問題，就是我們講的資料洩露、隱私洩露等等的問題，某種程度上可能還不是一個太痛的點，但現在已經慢慢地成為痛點了。

我最近就跟公安部的幾位同志有交流過，包括和上海市公安局和廈門市公安局以及杭州那邊的公安局。我們交流了什麼呢？最近有一個資料非常有意思，疫情這一年，電信詐騙案件劇增，本來幾個公安局自己都有一個指標就是今年打擊資訊違法犯罪案件不能超過15%的增幅，結果到了8、9月份的時候他們再也不提15%這個數字了，因為根本壓不住。這背後其實就是資料和隱私洩露能夠轉換成一個詐騙的完整鏈條，從一種虛擬的風險轉變為實際的金融風險。這樣的一個鏈出現之後，安全的價值就更凸顯出來了。

我們用這樣的邏輯去看無人駕駛場景，它安全的價值也是非常剛性的需求，就使得我們安全從業人員有非常好的機會，終於可以理直氣壯地不用去回答“買了你的安全、服務、產品之後到底帶來什麼價值了”，這個是可以保命的。

那為什麼說無人駕駛的安全是藍海呢？因為它的技術門檻非常高。現階段，我們能把很多研究的、積累的技術遷移過來，這個難度不是很大。但是我們要看到一個整車系統的安全能力全面提升，涉及到的需要遷移的技術領域就太多了。舉一個例子，我們要考慮AI系統的安全，這對我們大多數在座的同志們來講有點難搞，為什麼呢？它跟軟體、硬體的攻防、跟協議的攻防不太一樣，AI系統的安全實際上對於數學功底要求很高，所以我們普通的以技術見長的選手，在數學和理論需求比較大的問題下就有短板了。

我知道，看雪論壇的這些受眾都是非常狂熱的技術愛好者，所以我建議你們可以把對技術狂熱的愛好和熱情投入一點到新興領域中去。我有一種感覺，這3-5年中這個領域的人才需求會比我們在2016年對網安人才的需求還來得更飢渴一些，因為這種複合型的技術能力、人才的培養和供給都是非常難以提升的，我們大學也沒有辦法去快速地輸出這麼多的人才。一旦人才的複合性要求高了之後，就需要個性化的培養，這不是可以批次生產的，所以安全從業人員未來從業的前景我是非常看好的。

惠志斌：謝謝楊教授，楊教授是從培養人才的角度給大家指引了非常好的方向，確實是一個非常好的分享。那時間過得很快，最後我們花一點時間，每一位嘉賓用一句話對新基建、新安全以及對看雪平臺說一下自己的寄語吧。

朱易翔：我還是延續剛才的話題，爭取把它切換過來。用一句話來說就是，作為安全從業者，我一直都認為安全只有兩個驅動力，一個是事件驅動，一個是政策驅動。今天談到的新基建這個話題和剛才講到的智慧網聯汽車的安全，現在都出現了非常明顯的變化。所以我們不能在一個事物沒有發展到一定要重視安全，不重視安全就不行了的時候才去關注它，而是要在這個事物剛剛出現，還沒有真正走到我們身邊來的時候就開始認真關注它的安全問題。也就是說，在新基建這樣的大背景下，大家關注新的事物或者新的業務產生的時候就要提前開始考慮它的安全問題，積極探索的同時提前做準備，我覺得這會是一個非常好的趨勢。

陳凱：今天的主題是關於“新基建，新安全”，我覺得新基建帶來的最大的變化就是我們一些新的業務形態會更多樣化，剛剛朱總也提到了。而新的業務形態勢必會帶來新的安全需求，這個需求的驅動力是來自於業務的。同時，我覺得新基建也會有挑戰。但是對於安全從業人員來講，我個人認為機遇遠遠大於挑戰，可能未來的5年會是我們安全需求更緊迫的幾年，不僅僅是要實現我們之前做的一些合規性的要求，更多的是我們會為業務去提供更有價值的保障和服務，會以服務的形式來提升業務的價值，這是我個人的看法，謝謝大家。

楊珉：數字化的越徹底，我們安全從業人員越高興。

陳良：我從剛剛接觸安全的時候就喜歡泡論壇，所以我也非常高興可以看到像看雪這樣的平臺現在能有這麼好的發展，每年會有非常精彩的分享來促進這個行業共同進步，我覺得這非常好。剛才朱總也提到，現在新基建這樣的概念提出之後，對我們安全這塊的關注馬上就起來了。像以前，可能PC發展了十幾年才開始關注安全，但和以前比我們現在已經進步了很多，而且現在的形勢也不允許我們不重視安全問題，放任它去發展，所以總體來說我覺得這也是一個進步，我們可以一起去促進這個新基建安全的發展。

吳建華：我用一句話來概括，新基建確實是給大家帶來了一個很大的挑戰，我希望透過看雪等平臺，能讓大家的能力提高得更快，跟上新基建的發展腳步。

惠志斌：謝謝前面五位嘉賓的精彩分享。我覺得在這樣一個非常好的時代，數字化轉型的大時代，是我們選擇了安全。恰恰如剛才楊教授所言，過去它可能只是一個細分，是一個冷門，但是在現在這樣的新基建浪潮中，當各種各樣的產業都高度依賴安全能力的時候，原來可能只是安全上的一些困擾，後來發展到帶來一些財富的損失，現在又牽涉到我們的人身安全，我們安全從業人員的價值得到了極大的提升。

看雪對我們安全人員的凝聚以及方向上的引領起到了一個非常好的作用，也期待看雪能夠越辦越好，希望看雪人能為中國的網路安全以及數字化轉型提供更好的賦能。

我們的圓桌環節到此結束，謝謝大家！